Уязвимость связана с отсутствием проверки аутентификации, что потенциально позволяет злоумышленнику получить контроль над уязвимыми системами.
https://www.securitylab.ru/upload/ib...a645a17e61.jpg
В среду компания F5 выпустила исправления для 43 ошибок в своих продуктах. Из 43 уязвимостей у одной рейтинг опасности критический, у 17 – высокий, у 24 – средний и ещё одна имеет низкий рейтинг опасности.
Главной среди уязвимостей – CVE-2022-1388 с оценкой CVSS 9,8 из 10. Связана она с отсутствием проверки аутентификации, что потенциально позволяет злоумышленнику получить контроль над уязвимыми системами.
"Уязвимость могла позволить неаутентифицированному злоумышленнику выполнять произвольные системные команды, создавать или удалять файлы, а также отключать службы при наличии сетевого доступа к системе BIG-IP через порт управления и/или собственные IP-адреса.", – говорится в сообщении компании. "Уязвимость никак не влияет на данные, только на контроль над системой”.
По словам F5, уязвимость была обнаружена внутри компании и затрагивает продукты BIG-IP следующих версий:<ul><li>16.1.0 - 16.1.2</li>
<li> 15.1.0 - 15.1.5</li>
<li> 14.1.0 - 14.1.4</li>
<li> 13.1.0 - 13.1.4</li>
<li> 12.1.0 - 12.1.6</li>
<li> 11.6.1 - 11.6.5</li>
</ul>Обход аутентификации iControl REST был исправлен в версиях 17.0.0, 16.1.2.2, 15.1.5.1, 14.1.4.6 и 13.1.5. Другие продукты F5 – BIG-IQ Centralized Management, F5OS-A, F5OS-C и Traffix SDC, не уязвимы к CVE-2022-1388.
До применения исправлений F5 предложила пользователям временные меры безопасности:<ul><li>Блокиров� �ть доступ к iControl REST через собственный IP-адрес(self IP address).</li>
</ul><ul><li>Блокировать доступ к iControl REST через интерфейс управления.</li>
</ul><ul><li>Изменить конфигурацию httpd BIG-IP.</li>
</ul>Собственный IP-адрес (self IP address) — это IP-адрес в системе BIG-IP, который пользователь связывает с VLAN для доступа к хостам в этой VLAN.
Другие устраненные в обновлении ошибки могут позволить аутентифицированному злоумышленнику обойти ограничения режима Appliance и выполнить произвольный JavaScript-код в контексте текущего зарегистрированного пользователя.
Поскольку устройства F5 широко используются в корпоративных сетях, организациям необходимо как можно скорее применить исправления, защитив системы от первоначального доступа хакеров.
Ранее сообщалось про успешные атаки на BIG-IP и BIG-IQ через исправленную уязвимость, которая позволяла удаленно выполнить код и затрагивала большинство версий программного обеспечения F5 BIG-IP и BIG-IQ.