F5 heeft klanten gewaarschuwd voor een kritiek beveiligingsprobleem dat gevolgen heeft voor BIG-IP en dat zou kunnen resulteren in niet-geverifieerde uitvoering van externe code.
Het probleem, dat zijn oorsprong vindt in de component van het configuratiehulpprogramma, heeft de CVE-identificatie toegewezen gekregen CVE-2023-46747en heeft een CVSS-score van 9,8 op een maximum van 10.
“Deze kwetsbaarheid kan een niet-geverifieerde aanvaller met netwerktoegang tot het BIG-IP-systeem via de beheerpoort en/of eigen IP-adressen in staat stellen willekeurige systeemopdrachten uit te voeren”, aldus F5 in een donderdag vrijgegeven advies. “Er is geen sprake van blootstelling aan datavlakken; dit is alleen een kwestie van controlevlak.”
De volgende versies van BIG-IP zijn kwetsbaar gebleken:
- 17.1.0 (opgelost in 17.1.0.3 + Hotfix-BIGIP-17.1.0.3.0.75.4-ENG)
- 16.1.0 – 16.1.4 (opgelost in 16.1.4.1 + Hotfix-BIGIP-16.1.4.1.0.50.5-ENG)
- 15.1.0 – 15.1.10 (opgelost in 15.1.10.2 + Hotfix-BIGIP-15.1.10.2.0.44.2-ENG)
- 14.1.0 – 14.1.5 (opgelost in 14.1.5.6 + Hotfix-BIGIP-14.1.5.6.0.10.6-ENG)
- 13.1.0 – 13.1.5 (opgelost in 13.1.5.1 + Hotfix-BIGIP-13.1.5.1.0.20.2-ENG)
Als oplossing heeft F5 ook een shellscript beschikbaar gesteld voor gebruikers van BIG-IP-versies 14.1.0 en hoger. “Dit script mag niet worden gebruikt op een BIG-IP-versie vóór 14.1.0, anders zal het configuratiehulpprogramma niet starten”, waarschuwde het bedrijf.
Andere tijdelijke oplossingen die beschikbaar zijn voor gebruikers vindt u hieronder:
Michael Weber en Thomas Hendrickson van Praetorian hebben de kwetsbaarheid op 4 oktober 2023 ontdekt en gerapporteerd.
Het cyberbeveiligingsbedrijf beschreef CVE-2023-46747 in een eigen technisch rapport als een probleem met het omzeilen van de authenticatie dat kan leiden tot een totale compromittering van het F5-systeem door willekeurige opdrachten uit te voeren als root op het doelsysteem, en merkte op dat het “nauw verwant is naar CVE-2022-26377.”
Praetorian beveelt gebruikers ook aan de toegang tot de Traffic Management User Interface (TMUI) vanaf internet te beperken. Het is vermeldenswaard dat CVE-2023-46747 de derde niet-geverifieerde fout bij het uitvoeren van externe code is die in TMUI is ontdekt, na CVE-2020-5902 en CVE-2022-1388.
“Een schijnbaar geringe impact op de smokkel van verzoeken kan een serieus probleem worden wanneer twee verschillende diensten de authenticatieverantwoordelijkheden aan elkaar overdragen”, aldus de onderzoekers. “Het verzenden van verzoeken naar de ‘backend’-service die ervan uitgaat dat de door de ‘frontend’ afgehandelde authenticatie kan tot interessant gedrag leiden.”
