CVSS: 4.8EPSS: 0%CPEs: 12EXPL: 0CVE-2019-6639
https://notcve.org/view.php?id=CVE-2019-6639
On BIG-IP (AFM, PEM) 14.1.0-14.1.0.5, 14.0.0-14.0.0.4, 13.0.0-13.1.1.4, 12.1.0-12.1.4, 11.6.1-11.6.3.4, and 11.5.1-11.5.8, an undisclosed TMUI pages for AFM and PEM Subscriber management are vulnerable to a stored cross-site scripting (XSS) issue. This is a control plane issue only and is not accessible from the data plane. The attack requires a malicious resource administrator to store the XSS. En BIG-IP (AFM, PEM) 14.1.0-14.1.0.5, 14.0.0-14.0.0.4, 13.0.0-13.1.1.4, 12.1.0-12.1.4, 11.6.1-11.6.3.4, y 11.5.1-11.5.8, las páginas TMUI no reveladas para AFM y PEM Subscriber management son vulnerables a un problema almacenado de scripts Cross-Site (XSS). Este es solo un problema del plano de control y no es accesible desde el plano de datos. • http://www.securityfocus.com/bid/109064 https://support.f5.com/csp/article/K61002104 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 8.5EPSS: 0%CPEs: 8EXPL: 0CVE-2019-6636
https://notcve.org/view.php?id=CVE-2019-6636
On BIG-IP (AFM, ASM) 14.1.0-14.1.0.5, 14.0.0-14.0.0.4, 13.0.0-13.1.1.4, 12.1.0-12.1.4, and 11.5.1-11.6.4, a stored cross-site scripting vulnerability in AFM feed list. In the worst case, an attacker can store a CSRF which results in code execution as the admin user. The level of user role which can perform this attack are resource administrator and administrator. En BIG-IP (AFM, ASM) versiones 14.1.0-14.1.0.5, 14.0.0-14.0.0.4, 13.0.0-13.1.1.4, 12.1.0-12.1.4, y 11.5.1-11.6.4, vulnerabilidad de Cross-Site Scripting (XSS) en la lista de feeds de AFM. En el peor de los casos, un atacante puede almacenar un Cross-Site Request Forgery (CSRF), lo que conduce a la ejecución de código como el usuario administrador. El nivel de rol de usuario que puede realizar este ataque es el administrador de recursos y el administrador. • http://www.securityfocus.com/bid/109108 https://support.f5.com/csp/article/K68151373 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') CWE-352: Cross-Site Request Forgery (CSRF) •
CVSS: 6.5EPSS: 0%CPEs: 52EXPL: 0CVE-2019-6634
https://notcve.org/view.php?id=CVE-2019-6634
On BIG-IP 14.1.0-14.1.0.5, 14.0.0-14.0.0.4, 13.0.0-13.1.1.4, and 12.1.0-12.1.4, a high volume of malformed analytics report requests leads to instability in restjavad process. This causes issues with both iControl REST and some portions of TMUI. The attack requires an authenticated user with any role. En BIG-IP versiones 14.1.0-14.1.0.5, 14.0.0-14.0.0.4, 13.0.0-13.1.1.4, y 12.1.0-12.1.4 un gran volumen de solicitudes de informes de análisis mal formados conduce a la inestabilidad en el proceso de restjavad. Esto causa problemas tanto con iControl REST como con algunas partes de TMUI. • http://www.securityfocus.com/bid/109104 https://support.f5.com/csp/article/K64855220 •
CVSS: 4.4EPSS: 0%CPEs: 78EXPL: 0CVE-2019-6635
https://notcve.org/view.php?id=CVE-2019-6635
On BIG-IP 14.1.0-14.1.0.5, 14.0.0-14.0.0.4, 13.0.0-13.1.1.4, 12.1.0-12.1.4, 11.6.1-11.6.3.4, and 11.5.1-11.5.8, when the BIG-IP system is licensed for Appliance mode, a user with either the Administrator or the Resource Administrator role can bypass Appliance mode restrictions. En BIG-IP versiones 4.1.0-14.1.0.5, 14.0.0-14.0.0.4, 13.0.0-13.1.1.4, 12.1.0-12.1.4, 11.6.1-11.6.3.4, y 11.5.1-11.5.8, cuando el sistema BIG-IP tiene licencia para el modo Appliance, un usuario con los roles de administrador o administrador de recursos puede saltarse las restricciones del Appliance Mode. • http://www.securityfocus.com/bid/109098 https://support.f5.com/csp/article/K11330536 https://support.f5.com/csp/article/K11330536?utm_source=f5support&%3Butm_medium=RSS •
CVSS: 5.5EPSS: 0%CPEs: 52EXPL: 0CVE-2019-6632
https://notcve.org/view.php?id=CVE-2019-6632
On BIG-IP 14.1.0-14.1.0.5, 14.0.0-14.0.0.4, 13.0.0-13.1.1.4, and 12.1.0-12.1.4, under certain circumstances, attackers can decrypt configuration items that are encrypted because the vCMP configuration unit key is generated with insufficient randomness. The attack prerequisite is direct access to encrypted configuration and/or UCS files. En BIG-IP versiones 14.1.0-14.1.0.5, 14.0.0-14.0.0.4, 13.0.0-13.1.1.4, y 12.1.0-12.1.4, en determinadas circunstancias, los atacantes pueden descifrar los elementos de configuración que están encriptados porque la clave de la unidad de configuración vCMP se genera con una aleatoriedad insuficiente. El requisito previo de ataque es el acceso directo a la configuración cifrada y/o los archivos UCS. • http://www.securityfocus.com/bid/109112 https://support.f5.com/csp/article/K01413496 • CWE-330: Use of Insufficiently Random Values •