KritischCVE-2023-46748

    F5 BIG-IP: SQL-Injection (CVE-2023-46748)

    Veröffentlicht In CISA KEV seit Quellen: pwn.watch, CVE.org

    Was ist betroffen, was ist zu tun

    Ein authentifizierter SQL-Injektionsfehler existiert in der BIG-IP-Konfigurationsanwendung, der es einem authentifizierten Angreifer mit Netzwerkzugriff auf die Konfigurationsanwendung über den BIG-IP-Verwaltungsport und/oder die Selbst-IP-Adressen ermöglichen kann, beliebige Systembefehle auszuführen. Hinweis: Softwareversionen, die das Ende der technischen Unterstützung (EoTS) erreicht haben, werden nicht bewertet.

    Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. Die vorliegenden Quellen nennen keine Fix-Version. Prüfen Sie die Herstellerhinweise in den Referenzen unten. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

    Betroffen
    • F5 BIG-IP gte 17.1.0..*
    • F5 BIG-IP gte 16.1.0..*
    • F5 BIG-IP gte 15.1.0..*
    • F5 BIG-IP gte 14.1.0..*
    • F5 BIG-IP gte 13.1.0..*

    Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

    Metriken

    8,8

    Priorität

    XIEM Effective CVSS: höchste verfügbare CVSS-Bewertung aus NVD- und Herstellerangaben.

    Quelle: NVD, CVSS v3

    8,8

    CVSS v3

    Schweregrad Hoch auf der Skala von 0 bis 10.

    Quelle: pwn.watch, CVE.org

    4,2 %

    EPSS-Score

    Moderat – Modell schätzt 1-10 % Ausnutzungs-Wahrscheinlichkeit.

    Quelle: FIRST EPSS, Perzentil 91,0

    Alle Metriken anzeigen
    Schweregrad
    Kritisch
    Priorität (0–325)

    Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst?

    Im Glossar lesen
    213.91 Methodik
    Exploit-Reife

    Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht.

    Im Glossar lesen
    aktiv ausgenutzt
    XIEM Effective CVSS

    XIEM® ist das gestufte Managed-Security-Betriebsmodell von NEOSEC und eine eingetragene Marke der NEOSEC GmbH. Es erweitert klassisches SIEM — die zentrale Sammlung, Normalisierung und Korrelation sicherheitsrelevanter Ereignisse — um Endpunkt-Forensik, Netzwerk-Sichtbarkeit und Täuschungstechnik und führt diese zu drei aufeinander aufbauenden Stufen zusammen: Sentry, Orchestrate und Command.

    Im Glossar lesen
    8,8 Methodik
    CVSS v3

    CVSS ist der weltweit verbreitete, offene Standard zur Bewertung der technischen Schwere einer Schwachstelle auf einer Skala von 0 bis 10. Er beschreibt, wie leicht eine Lücke ausnutzbar ist und welchen Schaden sie anrichten kann — nicht jedoch, wie wahrscheinlich ihre tatsächliche Ausnutzung ist. CVSS und das ergänzende EPSS beantworten bewusst unterschiedliche Fragen.

    Im Glossar lesen
    8,8
    EPSS-Score

    Der EPSS-Score ist der absolute Modell-Output für eine einzelne Schwachstelle: die geschätzte Wahrscheinlichkeit einer realen Ausnutzung in den nächsten 30 Tagen, ausgedrückt als Wert zwischen 0 und 1 (bzw. 0 % bis 100 %). Ein Score von 0,42 bedeutet „das Modell schätzt eine 42-prozentige Chance auf reale Ausnutzung binnen 30 Tagen“.

    Im Glossar lesen
    4,2 %
    Moderat – Modell schätzt 1-10 % Ausnutzungs-Wahrscheinlichkeit.
    EPSS-Perzentil

    Das EPSS-Perzentil ist die relative Einordnung einer Schwachstelle innerhalb aller EPSS-bewerteten CVEs, ausgedrückt als Wert zwischen 0 und 1. Ein Perzentil von 0,90 bedeutet „diese CVE hat einen höheren EPSS-Score als 90 % aller anderen bewerteten CVEs“. Anders als der EPSS-Score ist es keine Wahrscheinlichkeit — sondern eine Positionierung im Ranking.

    Im Glossar lesen
    91,0
    Kritisch – CVE liegt im obersten Fünftel aller heute bewerteten CVEs (Rang ≥ 80 %).
    KEV-Status

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    Aktiv ausgenutzt
    Veröffentlicht
    In CISA KEV seit

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    CISA-Bewertung (SSVC)
    Ausnutzung: aktiv · nicht automatisierbar · Auswirkung: vollständig
    Quelle: CISA Vulnrichment, Stand 4. Februar 2025
    CWE

    CWE ist ein Katalog typischer Schwächen-Arten in Software und Hardware — etwa fehlerhafte Eingabevalidierung, unsichere Speicherbehandlung oder mangelhafte Authentisierung. Während eine CVE eine konkrete Schwachstelle in einem konkreten Produkt benennt, beschreibt eine CWE die zugrunde liegende Fehlerklasse.

    Im Glossar lesen
    CWE-89

    Behebung und Mitigation

    Warum sofort handeln?

    Priorisierung

    Die Schwachstelle steht auf der KEV-Liste, weil Angreifer sie zusammen mit CVE-2023-46747 als Kette ausnutzen. Der Authentisierungs-Bypass liefert den benötigten Zugang, und die SQL-Injection führt anschließend zur Ausführung von Systembefehlen mit vollständiger Kontrolle über das Gerät. Typische Ziele sind Organisationen, deren BIG-IP-Management-Port oder Self-IPs mit TMUI aus dem Internet oder aus breiten internen Netzen erreichbar sind. Als Edge-Gerät mit Zugriff auf TLS-Schlüssel und Sitzungsdaten ist ein kompromittiertes BIG-IP ein idealer Brückenkopf. Bei Netzerreichbarkeit mit nur niedrigen Rechten und hoher Ausnutzungswahrscheinlichkeit gilt: Systeme mit extern erreichbarem TMUI sind als Notfall zu behandeln. Ist TMUI strikt auf ein isoliertes Admin-Netz beschränkt, reicht ein priorisiertes reguläres Patchfenster innerhalb weniger Tage.

    1. Schritt 1 im Runbook

      Sofort-Response (0-24 h)

      • Inventarisierung: Alle BIG-IP-Systeme (einschließlich BIG-IP APM) der Zweige 13.1.x, 14.1.x, 15.1.x, 16.1.x und 17.1.x erfassen. Für jedes System prüfen, ob das Configuration Utility (TMUI) über den Management-Port oder über Self-IPs erreichbar ist. Systeme mit TMUI-Erreichbarkeit aus dem Internet oder aus Benutzernetzen sofort als kritisch einstufen.
      • Patch einspielen: Ein Patch bzw. Engineering-Hotfix ist beim Hersteller verfügbar. Die genaue Version bitte im F5-Security-Advisory zu CVE-2023-46748 nachschlagen. CVE-2023-46747 (unauthentifizierter Authentisierungs-Bypass im Configuration Utility) im selben Wartungsfenster schließen, weil beide Schwachstellen zur Kette kombiniert werden. EoTS-Versionen (z. B. 13.1.x) bewertet F5 nicht. Diese Systeme migrieren oder als nicht patchbar behandeln.
      • Zugriff sofort einschränken: Den Zugriff auf TMUI über Self-IPs unterbinden (Port Lockdown auf „Allow None“ oder nur benötigte Dienste, TCP 443 nicht freigeben). Den Management-Port ausschließlich aus einem dedizierten Admin-Netz bzw. von einem Jump-Host aus erreichbar machen.
      • Kompromittierungsprüfung vor dem Patchen: /var/log/tomcat/catalina.out auf ungewöhnliche SQL-Fehlermeldungen (java.sql.SQLException) in zeitlicher Nähe zu Shell-Ausgaben prüfen. Zusätzlich /var/log/audit und /var/log/secure auf unbekannte Logins und Konfigurationsänderungen durchsehen. Bei Treffern das System isolieren und forensisch sichern (qkview/UCS plus Log-Export), bevor es neu aufgesetzt wird.
      • Credential-Rotation: Da ein authentifizierter Zugang ausreicht, alle lokalen BIG-IP-Konten, den Root-Zugang und angebundene Remote-Auth-Service-Accounts (LDAP/RADIUS/TACACS+) zurücksetzen. Ebenso iControl-REST-Tokens und auf dem System gespeicherte Geheimnisse (private TLS-Schlüssel, APM-Secrets) rotieren, falls Kompromittierungsindikatoren vorliegen.

    2. Schritt 2 im Runbook

      Mitigation-Layer

      • Netzsegmentierung: Das Management-Interface in ein Out-of-Band-Management-VLAN verlagern. Inbound nur vom PAM-Jump-Host zulassen. Ausgehende Verbindungen des Management-Interfaces außer zu NTP, DNS, Syslog und Lizenz/Update ausdrücklich verbieten, um Reverse Shells und Datenabfluss zu erschweren.
      • Self-IP-Härtung: tmsh list net self allow-service prüfen. Auf allen extern oder benutzerseitig erreichbaren Self-IPs allow-service none setzen. HA-relevante Ports nur auf dem HA-VLAN freigeben.
      • IPS/NGFW-Regel: Requests an /tmui/ vor der BIG-IP inspizieren. SQL-Metazeichen und -Schlüsselwörter (', UNION, ;, --) in POST-Parametern von TMUI-Formularen erkennen und blockieren. Zusätzlich HTTP-Requests mit Transfer-Encoding-Anomalien gegen TMUI blockieren, die auf die Kette mit CVE-2023-46747 hindeuten.
      • IAM/Least Privilege: Die Anzahl der TMUI-berechtigten Konten minimieren. Rollen wie „Operator“ oder „Guest“ nur dort vergeben, wo sie nötig sind, denn schon niedrige Rechte genügen für den Angriff. Admin-Zugang an MFA über den vorgelagerten Jump-Host koppeln.
      • Konfigurationsmaßnahme: Wo betrieblich möglich, TMUI vollständig deaktivieren (tmsh modify sys httpd allow replace-all-with { 127.0.0.1 } o. ä.) und die Administration per tmsh über SSH aus dem Admin-Netz abwickeln.

    3. Schritt 3 im Runbook

      Detection-Regeln

      • Tomcat-Log (Syslog-Forwarding ins SIEM): In catalina.out nach java.sql.SQLException-Einträgen in Kombination mit Shell-Artefakten suchen (z. B. sh:-Fehlermeldungen). SPL-Beispiel: index=f5 source="*catalina.out" "java.sql.SQLException" | stats count by host
      • HTTP-Zugriffe auf TMUI: Im Apache-Access-Log (/var/log/httpd/) oder in Proxy-Logs nach Requests auf /tmui/ von Quell-IPs außerhalb des Admin-Netzes suchen, ebenso nach ungewöhnlich langen oder URL-kodierten POST-Bodies. Sigma-Form: logsource: webserver; selection: cs-uri-stem|startswith: '/tmui/' ; filter: c-ip|cidr: <admin_netz>
      • Prozessabstammung: Wenn auditd oder Prozess-Accounting an Syslog weitergeleitet werden, Java-/Tomcat-Prozesse mit Kindprozessen sh, bash, curl, wget oder nc alarmieren. Zusätzlich Schreibzugriffe auf Web-Verzeichnisse (Webshells) überwachen.
      • Konten- und Konfigurationsänderungen: In /var/log/audit nach create auth user, Änderungen an /config/bigip_user.conf oder neuen SSH-Keys in authorized_keys suchen, insbesondere außerhalb von Change-Fenstern.
      • Netzwerk-Telemetrie (Zeek/Suricata): Ausgehende Verbindungen von Management- oder Self-IPs der BIG-IP zu unbekannten externen Zielen erkennen. KQL-Beispiel: CommonSecurityLog | where SourceIP in (bigip_mgmt_ips) and not(DestinationIP in (allowlist))

    Erkennungsregeln

    Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

    Einordnung nach NIS2 und CRA

    Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

    NIS2

    NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

    Im Glossar lesen
    Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).
    CRA

    Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

    Im Glossar lesen
    Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.
    ISO/IEC 27001

    ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

    Im Glossar lesen
    Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

    Beschreibung

    Ein authentifizierter SQL-Injektionsfehler existiert in der BIG-IP-Konfigurationsanwendung, der es einem authentifizierten Angreifer mit Netzwerkzugriff auf die Konfigurationsanwendung über den BIG-IP-Verwaltungsport und/oder die Selbst-IP-Adressen ermöglichen kann, beliebige Systembefehle auszuführen. Hinweis: Softwareversionen, die das Ende der technischen Unterstützung (EoTS) erreicht haben, werden nicht bewertet.

    Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

    Quelle: pwn.watch, NVD (NIST), cvelistv5, CISA KEV Catalog, CVE.org (MITRE)

    Betroffene Produkte

    Betroffen sind die folgenden Versionen. Ältere Stände derselben Reihe sind ebenfalls verwundbar, sofern nicht anders angegeben.

    Betroffene Produkte
    Betroffene VersionenBehoben in
    F5BIG-IP
    • ≥ 14.1.0
    • ≥ 17.1.0
    • ≥ 13.1.0
    • ≥ 15.1.0
    • ≥ 16.1.0
    • —
    • —
    • —
    • —
    • —
    f5big-ip_access_policy_manager
    • 15.1.0 – ≤ 15.1.10
    • 13.1.0 – ≤ 13.1.5
    • 17.1.0 – ≤ 17.1.1
    • 14.1.0 – ≤ 14.1.5
    • 16.1.0 – ≤ 16.1.4
    • —
    • —
    • —
    • —
    • —
    f5big-ip_advanced_firewall_manager
    • 14.1.0 – ≤ 14.1.5
    • 15.1.0 – ≤ 15.1.10
    • 17.1.0 – ≤ 17.1.1
    • 16.1.0 – ≤ 16.1.4
    • 13.1.0 – ≤ 13.1.5
    • —
    • —
    • —
    • —
    • —
    f5big-ip_advanced_web_application_firewall
    • 17.1.0 – ≤ 17.1.1
    • 13.1.0 – ≤ 13.1.5
    • 14.1.0 – ≤ 14.1.5
    • 15.1.0 – ≤ 15.1.10
    • 16.1.0 – ≤ 16.1.4
    • —
    • —
    • —
    • —
    • —
    f5big-ip_analytics
    • 15.1.0 – ≤ 15.1.10
    • 13.1.0 – ≤ 13.1.5
    • 17.1.0 – ≤ 17.1.1
    • 14.1.0 – ≤ 14.1.5
    • 16.1.0 – ≤ 16.1.4
    • —
    • —
    • —
    • —
    • —
    f5big-ip_application_acceleration_manager
    • 14.1.0 – ≤ 14.1.5
    • 17.1.0 – ≤ 17.1.1
    • 15.1.0 – ≤ 15.1.10
    • 16.1.0 – ≤ 16.1.4
    • 13.1.0 – ≤ 13.1.5
    • —
    • —
    • —
    • —
    • —
    f5big-ip_application_security_manager
    • 13.1.0 – ≤ 13.1.5
    • 15.1.0 – ≤ 15.1.10
    • 17.1.0 – ≤ 17.1.1
    • 14.1.0 – ≤ 14.1.5
    • 16.1.0 – ≤ 16.1.4
    • —
    • —
    • —
    • —
    • —
    f5big-ip_application_visibility_and_reporting
    • 13.1.0 – ≤ 13.1.5
    • 14.1.0 – ≤ 14.1.5
    • 17.1.0 – ≤ 17.1.1
    • 16.1.0 – ≤ 16.1.4
    • 15.1.0 – ≤ 15.1.10
    • —
    • —
    • —
    • —
    • —
    f5big-ip_automation_toolchain
    • 13.1.0 – ≤ 13.1.5
    • 15.1.0 – ≤ 15.1.10
    • 17.1.0 – ≤ 17.1.1
    • 16.1.0 – ≤ 16.1.4
    • 14.1.0 – ≤ 14.1.5
    • —
    • —
    • —
    • —
    • —
    f5big-ip_carrier-grade_nat
    • 15.1.0 – ≤ 15.1.10
    • 16.1.0 – ≤ 16.1.4
    • 14.1.0 – ≤ 14.1.5
    • —
    • —
    • —

    Hersteller und Produkte

    Weakness-Klassen (CWE)

    • CWE-89Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')

      Base

      The product constructs all or part of an SQL command using externally-influenced input from an upstream component, but it does not neutralize or incorrectly neutralizes special elements that could modify the intended SQL command when it is sent to a downstream component. Without sufficient removal or quoting of SQL syntax in user-controllable inputs, the generated SQL query can cause those inputs to be interpreted as SQL instead of ordinary user data.

      Eintrag bei MITRE CWE-89

    Öffentliche Exploit-Referenzen

    Öffentlich gemeldete Proof-of-Concepts, Exploit-Module und Detection-Templates zu dieser Schwachstelle. NEOSEC verlinkt ausschließlich auf die Originalquellen und stellt keinen Exploit-Code bereit.

    Öffentliche Exploit-Referenzen
    CISA KEV CatalogCISA Known Exploited Vulnerability (öffnet in neuem Tab)cisa.govaktiv ausgenutzt

    Quellen & Referenzen

    • my.f5.comVendor advisory: F5 BIG-IP Configuration UtilityHerstellerhinweis, Herstellerhinweis, pwn-watch
    • secpod.comblog/f5-issues-warning-big-ip-vulnerability-used-in-active-expl…Exploit, Hinweis Dritter
    • cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2023-46748government-resource, US-Behörde
    • pwn.watchpwn.watch: F5 BIG-IP Configuration Utility: 2 exploited vulnerabilities (CVE-2023-46747, CVE-2023-46748)pwn-watch
    • my.f5.comVendor advisory: F5 BIG-IP Configuration Utilitypwn-watch
    • NVD (NIST)NVD: CVE-2023-46747pwn-watch
    • NVD (NIST)NVD: CVE-2023-46748pwn-watch
    • cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch
    Badge einbetten

    Zeigen Sie Schweregrad und KEV-Status dieser Schwachstelle auf Ihrer Seite – mit Link hierher. Das Bild wird stündlich aktualisiert.

    Badge-Vorschau für CVE-2023-46748
    <a href="https://intel.neosec.eu/cve/CVE-2023-46748"><img src="https://intel.neosec.eu/badge/cve/CVE-2023-46748.svg" alt="CVE-2023-46748 – NEOSEC Intel" height="20"></a>