F5 предупреждает о новой критической уязвимости BIG-IP

[Artifact]

Уязвимость связана с отсутствием проверки аутентификации, что потенциально позволяет злоумышленнику получить контроль над уязвимыми системами.

В среду компания F5 выпустила исправления для 43 ошибок в своих продуктах. Из 43 уязвимостей у одной рейтинг опасности критический, у 17 – высокий, у 24 – средний и ещё одна имеет низкий рейтинг опасности.
Главной среди уязвимостей – CVE-2022-1388 с оценкой CVSS 9,8 из 10. Связана она с отсутствием проверки аутентификации, что потенциально позволяет злоумышленнику получить контроль над уязвимыми системами.
"Уязвимость могла позволить неаутентифицированному злоумышленнику выполнять произвольные системные команды, создавать или удалять файлы, а также отключать службы при наличии сетевого доступа к системе BIG-IP через порт управления и/или собственные IP-адреса.", – говорится в сообщении компании. "Уязвимость никак не влияет на данные, только на контроль над системой”.
По словам F5, уязвимость была обнаружена внутри компании и затрагивает продукты BIG-IP следующих версий:

• 16.1.0 - 16.1.2


• 15.1.0 - 15.1.5


• 14.1.0 - 14.1.4


• 13.1.0 - 13.1.4


• 12.1.0 - 12.1.6


• 11.6.1 - 11.6.5

Обход аутентификации iControl REST был исправлен в версиях 17.0.0, 16.1.2.2, 15.1.5.1, 14.1.4.6 и 13.1.5. Другие продукты F5 – BIG-IQ Centralized Management, F5OS-A, F5OS-C и Traffix SDC, не уязвимы к CVE-2022-1388.
До применения исправлений F5 предложила пользователям временные меры безопасности:

• Блокировать доступ к iControl REST через собственный IP-адрес(self IP address).

• Блокировать доступ к iControl REST через интерфейс управления.

• Изменить конфигурацию httpd BIG-IP.

Собственный IP-адрес (self IP address) — это IP-адрес в системе BIG-IP, который пользователь связывает с VLAN для доступа к хостам в этой VLAN.
Другие устраненные в обновлении ошибки могут позволить аутентифицированному злоумышленнику обойти ограничения режима Appliance и выполнить произвольный JavaScript-код в контексте текущего зарегистрированного пользователя.
Поскольку устройства F5 широко используются в корпоративных сетях, организациям необходимо как можно скорее применить исправления, защитив системы от первоначального доступа хакеров.
Ранее сообщалось про успешные атаки на BIG-IP и BIG-IQ через исправленную уязвимость, которая позволяла удаленно выполнить код и затрагивала большинство версий программного обеспечения F5 BIG-IP и BIG-IQ.