CVE-2023-46747: f5 big-ip access policy manager +11 lainnya…

csirt@kutim:~/threat-intel/cve/CVE-2023-46747

CVSS 9.8 · Critical KEV · sudah dieksploitasi Dipakai ransomware EPSS 96,5%

Kerentanan Authentication Bypass Using an Alternate Path or Channel pada f5 big-ip access policy manager, f5 big-ip advanced firewall manager +10 lainnya. Skor CVSS 3.1 9.8 (Critical) menurut NVD. Masuk katalog KEV CISA pada 31 Oktober 2023, artinya sudah terbukti dieksploitasi. Tercatat dipakai dalam kampanye ransomware.

Deskripsi (NVD)

Undisclosed requests may bypass configuration utility authentication, allowing an attacker with network access to the BIG-IP system through the management port and/or self IP addresses to execute arbitrary system commands. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated

Rincian

Terbit di NVD: 26 Oktober 2023
Terakhir diubah: 17 Juni 2026
Status NVD: Analyzed
CVSS 3.1: 9.8 (Critical), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-288: Authentication Bypass Using an Alternate Path or Channel
CWE-306: Missing Authentication for Critical Function
EPSS (30 hari): 96,5% peluang dieksploitasi; lebih tinggi dari 99,8% CVE lain

Known Exploited Vulnerabilities (CISA)

Nama: F5 BIG-IP Configuration Utility Authentication Bypass Vulnerability
Masuk KEV: 31 Oktober 2023
Tenggat CISA: 21 November 2023 (untuk instansi federal AS)
Ransomware: Tercatat dipakai dalam kampanye ransomware
Tindakan wajib: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
f5	big-ip access policy manager	Versi 13.1.0 hingga 13.1.5
f5	big-ip access policy manager	Versi 14.1.0 hingga 14.1.5
f5	big-ip access policy manager	Versi 15.1.0 hingga 15.1.10
f5	big-ip access policy manager	Versi 16.1.0 hingga 16.1.4
f5	big-ip access policy manager	Versi 17.1.0 hingga 17.1.1
f5	big-ip advanced firewall manager	Versi 13.1.0 hingga 13.1.5
f5	big-ip advanced firewall manager	Versi 14.1.0 hingga 14.1.5
f5	big-ip advanced firewall manager	Versi 15.1.0 hingga 15.1.10
f5	big-ip advanced firewall manager	Versi 16.1.0 hingga 16.1.4
f5	big-ip advanced firewall manager	Versi 17.1.0 hingga 17.1.1
f5	big-ip advanced web application firewall	Versi 13.1.0 hingga 13.1.5
f5	big-ip advanced web application firewall	Versi 14.1.0 hingga 14.1.5
f5	big-ip advanced web application firewall	Versi 15.1.0 hingga 15.1.10
f5	big-ip advanced web application firewall	Versi 16.1.0 hingga 16.1.4
f5	big-ip advanced web application firewall	Versi 17.1.0 hingga 17.1.1
f5	big-ip carrier-grade nat	Versi 13.1.0 hingga 13.1.5
f5	big-ip carrier-grade nat	Versi 14.1.0 hingga 14.1.5
f5	big-ip carrier-grade nat	Versi 15.1.0 hingga 15.1.10
f5	big-ip carrier-grade nat	Versi 16.1.0 hingga 16.1.4
f5	big-ip carrier-grade nat	Versi 17.1.0 hingga 17.1.1
f5	big-ip ddos hybrid defender	Versi 13.1.0 hingga 13.1.5
f5	big-ip ddos hybrid defender	Versi 14.1.0 hingga 14.1.5
f5	big-ip ddos hybrid defender	Versi 15.1.0 hingga 15.1.10
f5	big-ip ddos hybrid defender	Versi 16.1.0 hingga 16.1.4
f5	big-ip ddos hybrid defender	Versi 17.1.0 hingga 17.1.1
f5	big-ip ssl orchestrator	Versi 13.1.0 hingga 13.1.5
f5	big-ip ssl orchestrator	Versi 14.1.0 hingga 14.1.5
f5	big-ip ssl orchestrator	Versi 15.1.0 hingga 15.1.10
f5	big-ip ssl orchestrator	Versi 16.1.0 hingga 16.1.4
f5	big-ip ssl orchestrator	Versi 17.1.0 hingga 17.1.1
f5	big-ip domain name system	Versi 13.1.0 hingga 13.1.5
f5	big-ip domain name system	Versi 14.1.0 hingga 14.1.5
f5	big-ip domain name system	Versi 15.1.0 hingga 15.1.10
f5	big-ip domain name system	Versi 16.1.0 hingga 16.1.4
f5	big-ip domain name system	Versi 17.1.0 hingga 17.1.1
f5	big-ip local traffic manager	Versi 13.1.0 hingga 13.1.5
f5	big-ip local traffic manager	Versi 14.1.0 hingga 14.1.5
f5	big-ip local traffic manager	Versi 15.1.0 hingga 15.1.10
f5	big-ip local traffic manager	Versi 16.1.0 hingga 16.1.4
f5	big-ip local traffic manager	Versi 17.1.0 hingga 17.1.1
f5	big-ip policy enforcement manager	Versi 13.1.0 hingga 13.1.5
f5	big-ip policy enforcement manager	Versi 14.1.0 hingga 14.1.5
f5	big-ip policy enforcement manager	Versi 15.1.0 hingga 15.1.10
f5	big-ip policy enforcement manager	Versi 16.1.0 hingga 16.1.4
f5	big-ip policy enforcement manager	Versi 17.1.0 hingga 17.1.1
f5	big-ip automation toolchain	Versi 13.1.0 hingga 13.1.5
f5	big-ip automation toolchain	Versi 14.1.0 hingga 14.1.5
f5	big-ip automation toolchain	Versi 15.1.0 hingga 15.1.10
f5	big-ip automation toolchain	Versi 16.1.0 hingga 16.1.4
f5	big-ip automation toolchain	Versi 17.1.0 hingga 17.1.1
f5	big-ip container ingress services	Versi 13.1.0 hingga 13.1.5
f5	big-ip container ingress services	Versi 14.1.0 hingga 14.1.5
f5	big-ip container ingress services	Versi 15.1.0 hingga 15.1.10
f5	big-ip container ingress services	Versi 16.1.0 hingga 16.1.4
f5	big-ip container ingress services	Versi 17.1.0 hingga 17.1.1
f5	big-ip application security manager	Versi 13.1.0 hingga 13.1.5
f5	big-ip application security manager	Versi 14.1.0 hingga 14.1.5
f5	big-ip application security manager	Versi 15.1.0 hingga 15.1.10
f5	big-ip application security manager	Versi 16.1.0 hingga 16.1.4
f5	big-ip application security manager	Versi 17.1.0 hingga 17.1.1

> Data dari konfigurasi CPE di NVD. Ditampilkan 60 dari 100 konfigurasi; daftar lengkap ada di NVD.

Referensi dan perbaikan

https://my.f5.com/manage/s/article/K000137353 advisory vendor
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-46747 pemerintah AS
http://packetstormsecurity.com/files/175673/F5-BIG-IP-TMUI-AJP-Smuggling-Remote-Command-Execution.html exploit · advisory pihak ketiga · vdb entry
https://www.secpod.com/blog/f5-issues-warning-big-ip-vulnerability-used-in-active-exploit-chain/ exploit · advisory pihak ketiga

Sumber: NVD · CVE.org · KEV CISA · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:10 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.