F5 BIG-IP の脆弱性 CVE-2025-31644 が FIX：セキュリティ・バイパスと PoC の提供

PoC Released: CVE-2025-31644 Exploit Grants Root Access on F5 BIG-IP via Appliance Mode Command Injection

2025/05/13 SecurityOnline — アプライアンス・モードで動作中の F5 BIG-IP システムで生じる、高深刻度の脆弱性 CVE-2025-31644 が発見された。この脆弱性の悪用に成功した認証済みの管理ユーザーは、任意の bash コマンドを実行し、ルート権限を取得する可能性を得る。この脆弱性は、iControl REST API／tmsh (Traffic Management Shell) CLI インターフェイスに影響を及ぼすものであり、Deloitte の MatMatei “Mal” Badanoiu により報告されている。

F5 はアドバイザリで、「この脆弱性を悪用する攻撃者は、セキュリティをバイパスする可能性を手にする」と、指摘している。

この脆弱性は CVSS スコア 8.7 (High) と評価されており、コンフィグ・ファイルの保存に使われる、save コマンドのファイル・パラメータに存在する。このパラメータは、基盤となる Perl スクリプトやシステム・コマンドへ向けて、安全な処理を施さずに渡されるため、バックティック (`) などのシェル・メタ文字を用いた、コマンド・インジェクションのリスクが生じる。

この脆弱性の発見者である Badanoiu は、「save コマンドの “file” パラメーターには、コマンド・インジェクションの脆弱性が存在する。それにより、管理者権限を持つ認証済みの攻撃者は、”root” ユーザーとしてのリモート・コード実行の可能性を手にする」と説明している。

なお、save コマンドは、多くのユーザーが利用できるものだが、カスタム・ファイル・パスを指定できるのは、管理者権限を持つユーザーのみに制限されている。この機能は、この脆弱性の悪用可能性を制限する重要なポイントではあるが、影響の深刻さ自体を軽減するものではない。

F5 BIG-IP の本来のアプライアンス・モードは、基盤となる bash シェルへの管理ユーザーによるアクセスを制限することで、制御プレーンとデータ・プレーンを明確に分離するように設計されている。しかし、今回の脆弱性は、そのセキュリティ境界を破るものだ。

アドバイザリでは、「この脆弱性を悪用する認証済の攻撃者は、アプライアンス・モードのセキュリティをバイパスし、通常は実行が制限されている任意の高度なシェル (bash) コマンドを実行する機会を得る」と説明されている。

重要な点は、この問題が、データ・プレーンの脆弱性にあるのではなく、コントロール・プレーンの侵害であることだ。そうであっても、システム・レベル・コンフィグの操作や、永続化メカニズムの植え付けに加えて、制限された環境での横移動に悪用される可能性がある。

この脆弱性は、主に２つのベクターを介してトリガーされる：

  1. “/mgmt” API 経由：
  2. Image: Badanoiu
  3. SSH経由のTMSH CLI：
  4. Image: Badanoiu

この脆弱性は、以下の F5 BIG-IP ブランチに影響を及ぼす：

Product BranchVulnerable VersionsFixed in Version
17.x17.1.0 – 17.1.217.1.2.2
16.x16.1.0 – 16.1.516.1.6
15.x15.1.0 – 15.1.1015.1.10.7

アプライアンス・モードで BIG-IP を実行している組織に推奨されるのは、影響を受けるバージョンに対して、ベンダーから提供されるパッチを速やかに適用することだ。

BIG-IP のアプライアンス・モードには、save コマンドにコマンド・インジェクションの脆弱性が存在し、それによりシステム・レベル・コンフィグの操作が可能になってしまうようです。ご利用のチームは、ご注意ください。よろしければ、BIG-IP で検索も、ご利用ください。