I ricercatori di Rapid7 hanno scoperto diverse vulnerabilità nei dispositivi F5 BIG-IP e BIG-IQ che eseguono una distribuzione personalizzata di CentOS. Gli esperti hanno anche scoperto diversi bypass dei controlli di sicurezza che il security vendor F5 non riconosce come vulnerabilità sfruttabili.
Le vulnerabilità scoperte dagli esperti sono:
CVE-2022-41622 è un’esecuzione di codice remoto non autenticato tramite CSRF (cross-site request forgery) che influisce sui prodotti BIG-IP e BIG-IQ.
“Un utente malintenzionato può indurre gli utenti che dispongono almeno di privilegi di amministratore delle risorse e sono autenticati tramite l’autenticazione di base in iControl SOAP a eseguire azioni critiche. Un utente malintenzionato può sfruttare questa vulnerabilità solo attraverso il piano di controllo, non attraverso il piano dati. Se sfruttata, la vulnerabilità può compromettere l’intero sistema.” si legge nell’advisory pubblicato dal venditore.
CVE-2022-41800 è un’esecuzione di codice remoto autenticata tramite iniezione di specifiche RPM che risiede nella modalità Appliance iControl REST. In modalità Appliance, un utente autenticato con credenziali utente valide assegnate al ruolo di amministratore può ignorare le restrizioni della modalità Appliance.
“In modalità Appliance, un utente autenticato con credenziali utente valide assegnate al ruolo di amministratore potrebbe essere in grado di ignorare le restrizioni della modalità Appliance. Questo è un problema del piano di controllo; non c’è esposizione al piano dati. si legge nell’avviso . “La modalità appliance è applicata da una licenza specifica o può essere abilitata o disabilitata per singole istanze guest Virtual Clustered Multiprocessing (vCMP)”.
Le suddette vulnerabilità sono state classificate come di gravità elevata.
Rapid7 ha segnalato entrambe le vulnerabilità a F5 il 18 agosto 2022, ha anche supportato il fornitore per risolverle.
Di seguito i bypass dei controlli di sicurezza che F5 ha rifiutato perché non sfruttabili:
Le versioni vulnerabili di BIG-IP sono:
- 13.1.0 – 13.1.5
- 14.1.0 – 14.1.5
- 15.1.0 – 15.1.8
- 16.1.0 – 16.1.3
- 17.0.0
Per BIG-IQ, le versioni interessate sono:
- 7.1.0
- 8.0.0 – 8.2.0
Si consiglia ai clienti interessati di richiedere l’aggiornamento rapido tecnico per la versione del prodotto da F5 e di installarlo manualmente.
Per risolvere CVE-2022-41622, gli amministratori devono anche disabilitare l’autenticazione di base per iControl SOAP dopo aver installato l’hotfix.