F5 RCE(CVE-2020-5902)在野攻击事件调查

F5 Networks官方在7月1日公布了BIG-IP系统的TMUI接口中存在一个严重的远程代码执行漏洞(CVE-2020-5902)。利用此漏洞的攻击层出不穷,我们对这些事件进行了总结,以期对近日来的事件进行完整阐述。 漏洞简述该漏洞允许未授权的远程攻击者通过向漏洞页面发送特殊构造的数据包,在系统上执行任意系统命令、创建或删除文件、禁用服务等。 根据360安全大脑测绘云(QUAKE网络空间测绘系统)数据,截至2020年7月10日,全球至少有80000台存在此漏洞的资产,具体分布如下图所示: CVE-2020-5902漏洞分布通过对该漏洞活跃情况研判,得到其全球态势和漏洞生命周期: 从360安全大脑的全网视野里可以看出,在7月2日漏洞利用细节公布,7月4日开始传播后,7月6日全网受影响设备居于峰值,此后由于缓解措施发布实施,漏洞活跃状态逐步回落。 时间线2020-7-1:F5 Networks官方发布通告,缓解措施为在配置文件中添加以下内容:<LocationMatch ".*\.\.;.*"> Redirect 404 / </LocationMatch>2020-7-2:漏洞相关技术细节公布2020-7-3:漏洞扫描流量被监测到2020-7-5:@x4ce在推特上公开披露漏洞利用PoC2020-7-6:metasploit集成exp2020-7-7:研究人员发现F5官方发布的缓解措施能够被绕过;而监测发现,在推特发布6小时前,野外即有bypass的利用payload;同日,F5官方更新通告,修复后的配置内容为:<LocationMatch…