CVE-2020-5902

Falha de path traversal (CWE-22) na interface de administração TMUI do F5 BIG-IP que permite a um atacante não autenticado, com acesso de rede à interface de gerenciamento, executar comandos arbitrários no sistema com privilégios elevados. É crítica de fato, não só no papel: não exige autenticação, é trivial de automatizar e foi amplamente explorada em massa dias após a divulgação, inclusive por atores estatais.

O TMUI roda sobre um Apache HTTP Server que atua como proxy reverso para um Apache Tomcat interno via protocolo AJP, na porta 8009/tcp. O arquivo de configuração proxy_ajp.conf usa uma lista de expressões regulares (ProxyPassMatch) para decidir quais caminhos são repassados ao Tomcat — por exemplo, apenas URLs terminando em .jsp sob /tmui/ ou caminhos específicos como /tmui/Control/, /tmui/graph/, /hsqldb, etc. Qualquer coisa fora dessa lista deveria ser bloqueada pelo Apache antes de chegar ao Tomcat.

O problema é que Apache e Tomcat interpretam sequências como '/..;/' de forma diferente — técnica descrita por Orange Tsai em 'Breaking Parser Logic'. O Apache trata ';' como parte do nome do diretório e não casa a URL contra as regras de bloqueio; o Tomcat, por sua vez, interpreta '..;' como um '..' válido para navegação de diretório. Isso permite montar uma URL do tipo '/tmui/login.jsp/..;/' que passa pelo filtro do Apache mas é resolvida pelo Tomcat como um caminho totalmente diferente, dentro da árvore de servlets internos do TMUI que nunca deveriam ser expostos.

Com esse desvio, um atacante alcança servlets internos não protegidos, entre eles o servlet do banco HSQLDB (org.hsqldb.Servlet, mapeado em /hsqldb/*), que aceita conexões JDBC via HTTP com credenciais padrão documentadas publicamente. A partir daí é possível executar SQL arbitrário contra o banco interno do appliance. Outros endpoints internos alcançáveis pela mesma técnica de traversal permitem leitura e escrita de arquivos de configuração, o que pesquisadores demonstraram ser suficiente para escalar de acesso ao banco/arquivos internos até execução de comando no sistema operacional, geralmente com privilégios de root, já que os processos do TMUI rodam com privilégio elevado.

O vetor é uma única requisição HTTP(S) para a porta TMUI (tipicamente 443, na interface de gerenciamento ou em um self-IP onde o Configuration utility esteja exposto), sem necessidade de autenticação, sessão válida ou interação do usuário. Não há pré-condição de configuração incomum: o problema está no proxy_ajp.conf padrão de fábrica. A única variável real de exposição é se a TMUI está acessível pela rede que o atacante alcança — F5 já recomendava antes da falha que a interface fosse restrita a rede de gerência isolada, mas o levantamento da Bad Packets encontrou milhares de instâncias expostas diretamente à internet.

Pesquisadores documentaram a cadeia completa: bypass do controle de acesso do Apache via '/..;/' → acesso ao servlet HSQLDB (ou outros servlets internos) → leitura/escrita de arquivos internos → execução de comando arbitrário no sistema com privilégios de root. Existem PoCs públicos, módulo Metasploit e templates Nuclei automatizando a detecção e a exploração, o que reduziu a barreira técnica quase a zero.

A exploração em massa começou dentro de dias da divulgação em julho de 2020, com scanning generalizado da internet à procura de instâncias vulneráveis. A CISA incluiu a falha no catálogo KEV (adicionada em novembro de 2021, prazo de correção maio de 2022), refletindo exploração continuada muito depois da correção estar disponível — inclusive por grupos de espionagem estatal que usaram BIG-IP comprometido como ponto de pivotamento em redes corporativas e governamentais.

A correção definitiva é atualizar para as versões corrigidas por F5 no advisory K52145254. Aplicar o patch remove a possibilidade de o Apache repassar as requisições manipuladas ao Tomcat da forma abusada.

Como paliativo quando a atualização imediata não é viável, F5 publicou mitigações no próprio advisory (restringir acesso à TMUI apenas a redes de gerenciamento confiáveis/out-of-band, e regras de bloqueio no próprio Apache/BIG-IP para os padrões de URL usados no traversal). Restringir a interface de gerenciamento por firewall ou VPN reduz drasticamente a superfície, mas não é substituto do patch: enquanto a interface estiver acessível a qualquer origem confiável (inclusive uma rede interna comprometida), o problema de fundo continua presente.

Não funciona como mitigação: apenas trocar credenciais de administração da TMUI, já que a exploração é pré-autenticação e não depende de nenhuma credencial válida do BIG-IP (a credencial usada é a padrão do HSQLDB interno, não da interface de admin). Da mesma forma, WAFs genéricos sem regra específica para o padrão '..;' na URL tendem a não bloquear a técnica, pois ela abusa de diferença de parsing entre dois servidores, não de um payload malicioso óbvio.

Em logs de acesso do Apache/TMUI, procurar por requisições contendo a sequência '..;' no caminho da URL, especialmente variações de '/tmui/login.jsp/..;/' seguidas de caminhos internos como '/hsqldb/', '/tmui/', ou outros endpoints não documentados — esse padrão de traversal é a assinatura mais confiável da técnica de bypass usada nesta CVE. Escaneamentos automatizados em massa (ferramentas com módulo Metasploit ou templates Nuclei) geram rajadas de requisições semelhantes vindas de poucos IPs contra várias instâncias, o que aparece bem em telemetria de rede voltada à porta de gerenciamento.

Como a exploração não deixa rastro de autenticação (não há usuário/sessão válida envolvido) e pode ser feita com uma única requisição, ambientes sem logging da TMUI habilitado ou sem retenção de log da época da exposição podem não ter nenhum sinal recuperável — isso é relevante para quem está avaliando comprometimento retroativo de appliances expostos entre 2020 e a aplicação do patch.