CVE-2021-22991

Falha de buffer overflow (CWE-119) na normalização de URI do Traffic Management Microkernel (TMM) do F5 BIG-IP, acionada por requisições não divulgadas a um virtual server. O fornecedor classifica o impacto confirmado como negação de serviço, tratando bypass de controle de acesso baseado em URL e RCE como possibilidades 'teóricas'. A CISA, no entanto, incluiu a CVE no catálogo KEV descrevendo exploração real que resulta em bypass de controles de acesso baseados em URL no módulo BIG-IP ASM (Application Security Manager) — não em qualquer virtual server genérico.

A vulnerabilidade está no processo de normalização de URI dentro do TMM, o componente de plano de dados do BIG-IP responsável por processar tráfego de virtual servers. Ao normalizar URIs — etapa usada por módulos como o ASM para avaliar políticas de segurança e controle de acesso baseado em caminho — o TMM manipula buffers de forma incorreta quando recebe requisições com estrutura de URI fora do esperado, causando uma escrita fora dos limites do buffer.

O fornecedor não divulgou o padrão exato de requisição que aciona a falha ('undisclosed requests'), o que é comum em advisories F5 para dificultar a construção de exploit por terceiros até que a correção esteja amplamente aplicada. O CVSS 9.8 reflete o pior cenário teórico (AV:N/AC:L/PR:N/UI:N, impacto total em confidencialidade, integridade e disponibilidade), mas a nota do CISA KEV é mais específica: a exploração confirmada ocorre no contexto do 'BIG-IP ASM Risk Engine', ou seja, exige que o módulo ASM esteja provisionado e em uso na política do virtual server atingido.

O atacante controla o conteúdo da URI da requisição HTTP enviada ao virtual server. Não há indicação nas fontes de que autenticação seja necessária para acionar o overflow — a superfície de exposição é a interface de dados (virtual server), não o plano de gerência do BIG-IP.

O vetor é uma requisição HTTP enviada à interface de dados de um virtual server exposto, sem necessidade de autenticação nem interação do usuário. A condição real para o impacto documentado pela CISA — bypass de controle de acesso baseado em URL — exige que o virtual server tenha o módulo ASM habilitado com políticas de segurança que dependem da normalização de URI para decidir se uma requisição é permitida ou bloqueada; sem ASM ativo, o efeito relatado como exploração confirmada não se aplica, embora o overflow em si (e o risco de DoS) esteja no TMM genérico.

O fornecedor trata RCE como possibilidade teórica, sem confirmação pública de exploração para execução remota de código — isso distingue claramente o que a F5 reconhece (overflow levando a DoS, com bypass de ACL como cenário possível) do que a exploração observada em campo demonstrou (bypass de controle de acesso). Não há write-up técnico público detalhando o payload ou a estrutura exata de URI que dispara a falha, condição deliberada do fornecedor.

A CVE está no catálogo KEV da CISA desde 18/01/2022, com prazo de correção definido para 01/02/2022, confirmando exploração ativa observada — mas o catálogo não fornece detalhes técnicos do ataque, apenas o mandato de remediação para agências federais dos EUA.

A correção definitiva é atualizar para as versões corrigidas por branch: 16.0.1.1, 15.1.2.1, 14.1.4, 13.1.3.6 ou 12.1.5.3, dependendo da série instalada. Branches que já atingiram End of Software Development (EoSD) não foram avaliados pelo fornecedor e não devem ser considerados cobertos por essa análise — se o ambiente roda uma série em EoSD, a única mitigação real é migrar para uma série suportada.

Como paliativo quando a atualização imediata não é viável, restringir o acesso à interface de dados do virtual server afetado (via ACL de rede, ou desabilitando exposição pública de virtual servers que não precisam estar na internet) reduz a superfície de ataque, mas não elimina a falha — é mitigação de exposição, não de causa raiz. Para ambientes com ASM, revisar se as políticas de segurança dependem de normalização de URI para decisões de acesso ajuda a entender o risco específico de bypass, mas não substitui o patch.

Não há indicação nas fontes de uma flag de configuração ou workaround oficial da F5 que neutralize a falha sem atualizar — o advisory oficial (K56715231) deve ser consultado diretamente para qualquer mitigação específica publicada pelo fornecedor, já que o conteúdo completo desse artigo não foi coberto aqui além da citação como referência.

As fontes disponíveis não trazem assinatura de log, IOC ou padrão de tráfego confirmado publicamente associado à exploração desta CVE — o fornecedor não divulgou o formato da requisição maliciosa, o que limita a criação de detecção precisa. Como indício indireto, reinícios ou crashes inesperados do processo TMM correlacionados a requisições HTTP com URIs malformadas ou anômalas em virtual servers com ASM habilitado merecem investigação, mas não há confirmação de que esse seja o padrão exato do ataque observado pela CISA.