近日，国家信息安全漏洞共享平台（CNVD）收录了F5 BIG-IP设备存在的权限验证绕过漏洞（CNVD-2012-12481），利用漏洞可以取得设备系统远程管理权，对设备关联网络信息系统运行安全构成威胁。具体情况通报如下：
一、漏洞情况分析
F5 BIG-IP是由F5 Network公司生产的用于应用交付服务的设备产品，主要用于负载均衡、业务加速优化等用途。根据披露的情况，F5 BIG-IP（11.x 10.x 9.x版本）设备文件系统中存在一组公开的SSH公私钥对，可用于用户权限验证，且验证通过后得到的是root用户权限。利用漏洞可以远程获取设备的管理控制权，进一步可发起针对相关网络信息系统的攻击。
二、漏洞影响范围
CNVD对该漏洞的综合评级为“高危”。根据F5 BIG-IP的应用情况，CNVD评估认为该漏洞对我国基础电信运营企业以及相关互联网业务经营者构成较大威胁。
受该漏洞影响的产品及版本包括：VIPRION B2100/B4100/B4200，BIG-IP 520/540/1000/2000/2400/5000/5100/
1600/3600/3900/6900/8900/8950/11000/11050，BIG-IP Virtual Edition；Enterprise Manager 3000/4000。
不受漏洞影响的产品及版本包括：BIG-IP 9.4.8-HF5，BIG-IP 10.2.4，BIG-IP 11.0.0-HF2，BIG-IP 11.1.0-HF3，Enterprise Manager 2.1.0-HF2，Enterprise Manager 2.2.0-HF1，Enterprise Manager 2.3.0-HF3。
三、漏洞处置建议
目前，厂商已经发布安全公告。CNVD建议广大企业和个人用户将产品升级至不受漏洞的版本。同时，建议相关用户做好安全访问控制，禁止外部无关IP访问设备SSH端口服务。CNVD将持续跟踪漏洞处置情况，如需技术支援，请联系CNVD。联系电话：010-82990286，邮箱：vreport@cert.org.cn，网站： www.cnvd.org.cn。
注：CNVD成员单位——北京神州绿盟科技信息安全股份有限公司协助完成漏洞的验证测试过程。
厂商安全公告参考：http://support.f5.com/kb/en-us/solutions/public/13000/600/sol13600.html