PoC 发布：CVE-2025-31644 漏洞利用通过设备模式命令注入授予 F5 BIG-IP 的 Root 访问权限

F5 的 BIG-IP 系统在 Appliance 模式下运行，发现了一个高危漏洞，编号为 CVE-2025-31644。该漏洞可能允许经过身份验证的管理用户执行任意 bash 命令并获得 root 级访问权限。该漏洞由德勤的 Matei “Mal” Badanoiu 负责任地披露，影响 iControl REST API 和 tmsh（流量管理 Shell）CLI 界面。

F5 安全公告指出： “成功利用该漏洞可使攻击者跨越安全边界。”

该漏洞的CVSS 评级为 8.7（高），存在于 save 命令的 file 参数中，该参数用于存储配置文件。该参数被不安全地传递给底层 Perl 脚本或系统命令，从而导致其通过 Shell 元字符（例如反引号 (`)）遭受命令注入攻击。

“ ‘save’命令的‘file’参数容易受到命令注入攻击，”研究人员解释道，“允许经过身份验证的具有管理员权限的攻击者……以‘root’用户身份获取远程代码执行。”

尽管保存命令可以广泛访问，但只有具有管理员级权限的用户才能提供自定义文件路径 – 这是一个限制可利用性的重要细节，但不会减少潜在影响。

F5 BIG-IP 的 Appliance 模式旨在限制管理用户访问底层 Bash Shell，从而强制控制平面和数据平面之间的操作分离。然而，此缺陷破坏了这一界限：

该公告解释道：“这可能允许经过身份验证的攻击者……绕过设备模式安全性，否则该安全性将阻止执行任意高级Shell（bash）命令。 ”

至关重要的是，这不是数据平面漏洞，而是控制平面漏洞。尽管如此，它仍可被武器化，用于操纵系统级配置、植入持久化机制，或在受限环境中进行横向移动。

该漏洞可以通过两个主要途径触发：

1. 通过“/mgmt” API：
   

2. 通过 SSH 上的 TMSH CLI：
   

该漏洞影响以下 F5 BIG-IP 分支：

在设备模式下运行 BIG-IP 的组织应立即应用受影响版本的供应商补丁。