BIG-IP Configuration utility unauthenticated remote code execution vulnerability

Falha de bypass de autenticação (CWE-288) na Configuration utility (TMUI) do F5 BIG-IP, explorável por um atacante sem credenciais que tenha acesso de rede à porta de management ou a um self IP. A exploração leva a execução arbitrária de comandos no sistema e está confirmada em exploração ativa, incluída no catálogo KEV da CISA — o ponto crítico é que a exposição depende de a interface de gerenciamento estar alcançável, algo que não deveria ocorrer em implantações seguindo as boas práticas do próprio fornecedor.

A causa raiz é uma falha de request smuggling no conector AJP (Apache JServ Protocol) usado internamente pelo httpd do BIG-IP para encaminhar requisições ao Tomcat que serve o TMUI. Pesquisadores da Project Discovery identificaram que uma requisição HTTP com corpo POST de tamanho fixo 0x204 bytes é mal interpretada pelo listener AJP como uma requisição AJP legítima, permitindo que o atacante controle atributos que normalmente só o proxy interno definiria — entre eles informações de usuário e nível de privilégio que o objeto HTTPServletRequest entrega aos servlets Java do TMUI.

O endpoint alvo é qualquer caminho sob /tmui/, mapeado no web.xml da aplicação Java, e o comportamento de smuggling é inconsistente (nem toda tentativa funciona de primeira, mas é reproduzível). O impacto final é a possibilidade de forjar credenciais de administrador dentro dessa camada de confiança interna e, a partir daí, acionar a API de gerenciamento ('mgmt') para executar comandos arbitrários no sistema operacional subjacente.

A falha é estruturalmente parecida com a CVE-2022-26377, outra vulnerabilidade de AJP smuggling em BIG-IP, o que sugere que a classe de problema (confiança implícita em atributos de requisição vindos do proxy interno) não foi eliminada por completo entre as correções anteriores e esta.

O vetor exige apenas acesso de rede TCP à Configuration utility — via porta de management ou via um self IP configurado na malha do BIG-IP — sem necessidade de credenciais válidas. Isso é o pré-requisito que a manchete 'unauthenticated RCE' esconde: em uma implantação seguindo a recomendação padrão da F5 de nunca expor a interface de management à Internet, a superfície de ataque já estaria bloqueada por segmentação de rede antes mesmo do patch. A exploração massiva observada em campo ocorreu justamente contra instâncias com a Configuration utility acessível externamente.

Na prática, o exploit publicado (PoC da Project Discovery, replicado em template Nuclei e em módulo Metasploit) envia a requisição HTTP malformada que provoca o smuggling AJP, forja o contexto de usuário administrativo e em seguida chama a API de gerenciamento para executar comandos no sistema. Como consequência documentada pela F5 e pela SecPod, essa vulnerabilidade tem sido usada como primeiro elo de uma cadeia de exploração junto com a CVE-2023-46748 (SQL injection autenticada na Configuration utility): a CVE-2023-46747 concede o acesso autenticado forjado, e a CVE-2023-46748 é então usada para aprofundar o comprometimento via injeção SQL.

A exploração está confirmada ativamente in the wild — está no catálogo KEV da CISA desde 31/10/2023, com prazo de mitigação definido pela agência para 21/11/2023 — e a existência simultânea de PoC pública, template Nuclei e módulo Metasploit tornou trivial a varredura em massa por instâncias expostas pouco depois da divulgação.

A F5 publicou correção e orientações no advisory K000137353. O caminho recomendado é aplicar a versão corrigida correspondente ao branch em uso; o advisory oficial deve ser consultado para o número exato de build por ramo (13.x, 14.x, 15.x, 16.x, 17.x), pois esse detalhe não pôde ser confirmado com precisão nas fontes analisadas para esta página — não adivinhe o número de patch, verifique diretamente no artigo da F5.

Como mitigação imediata quando a atualização não é viável de imediato, a própria F5 recomenda bloquear o acesso à Configuration utility a partir de self IPs e restringir o acesso à interface de management apenas a hosts/redes de gerenciamento confiáveis — essa é a mitigação estrutural que já deveria estar em vigor por boa prática e que reduz a exposição a zero para atacantes sem acesso interno à rede de management. A F5 também disponibilizou um script de mitigação para versões a partir da linha 14.1.0, aplicável quando o upgrade completo não é imediato.

Não existe mitigação equivalente via WAF genérico que substitua o patch: como a falha ocorre na camada de smuggling entre httpd e o conector AJP interno, filtros de aplicação que não entendam o protocolo AJP não bloqueiam de forma confiável a técnica. Expor a Configuration utility à Internet pública, mesmo com WAF na frente, não é uma configuração defensável para este caso.

Procure no tráfego HTTP direcionado a endpoints /tmui/ requisições POST com corpo de tamanho fixo 0x204 (516) bytes, especialmente vindas de fora da rede de management esperada — esse padrão específico é a assinatura do request smuggling AJP usado no exploit publicado e é o indicador mais citado pelos pesquisadores que dissecaram a falha. Também vale correlacionar com a criação inesperada de contas de administrador na Configuration utility e com execução de comandos via a API 'mgmt' fora de janelas de manutenção conhecidas.

Não há garantia de sinal único e infalível: como o comportamento de smuggling é descrito como inconsistente (nem toda tentativa é bem-sucedida), múltiplas tentativas malformadas podem aparecer nos logs sem indicar sucesso, e vice-versa — a ausência de erro não descarta exploração bem-sucedida. Presença de acesso originado de IPs externos à Configuration utility, por si só, já é sinal de exposição indevida que precede qualquer tentativa de exploração.