F5 NetworksのBIG-IP Domain Name System (DNS)におけるコマンドインジェクションの脆弱性
タイトル F5 NetworksのBIG-IP Domain Name System (DNS)におけるコマンドインジェクションの脆弱性
概要

BIG-IP DNSがプロビジョニングされている場合、未公開のiControl RESTおよびBIG-IP TMOS Shell(tmsh)コマンドに脆弱性が存在します。この脆弱性により、リソース管理者または管理者ロールを持つ認証済み攻撃者がより高い権限で任意のシステムコマンドを実行できる可能性があります。アプライアンスモードで展開された場合、攻撃者がセキュリティ境界を越える成功した攻撃を行う可能性があります。注:技術サポート終了(EoTS)に達したソフトウェアバージョンは評価対象外です。

想定される影響 ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 
対策

ベンダ情報を参照して適切な対策を実施してください。

公表日 2026年5月13日0:00
登録日 2026年6月30日11:21
最終更新日 2026年6月30日11:21
CVSS3.0 : 重要
スコア 8.7
ベクター CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N
影響を受けるシステム
F5 Networks
BIG-IP Domain Name System (DNS) 16.1.0 から 16.1.6
BIG-IP Domain Name System (DNS) 17.1.0 から 17.1.3
BIG-IP Domain Name System (DNS) 17.5.0 から 17.5.1
BIG-IP Domain Name System (DNS) 21.0.0
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
変更履歴
No 変更内容 変更日
1 [2026年06月30日]
  掲載
2026年6月30日11:21

NVD脆弱性情報
CVE-2026-40061
概要

When BIG-IP DNS is provisioned, a vulnerability exists in an undisclosed iControl REST and BIG-IP TMOS Shell (tmsh) command that may allow an authenticated attacker with the Resource Administrator or Administrator role to execute arbitrary system commands with higher privileges. In Appliance mode deployments, a successful exploit can allow the attacker to cross a security boundary.  Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.

公表日 2026年5月14日1:16
登録日 2026年5月15日4:20
最終更新日 2026年5月14日1:27
関連情報、対策とツール
共通脆弱性一覧