Cloudbeveiliging en applicatieleveringsnetwerk (ADN) provider F5 heeft woensdag patches uitgebracht om 43 bugs in zijn producten te bevatten.
Van de 43 problemen aangepaktéén wordt beoordeeld als Kritiek, 17 heeft de beoordeling Hoog, 24 heeft de beoordeling Gemiddeld en één heeft een lage ernst.
De belangrijkste van de gebreken is: CVE-2022-1388die een CVSS-score van 9,8 op een maximum van 10 heeft en voortkomt uit een gebrek aan authenticatiecontrole, waardoor een aanvaller mogelijk de controle over een getroffen systeem kan krijgen.
“Door deze kwetsbaarheid kan een niet-geverifieerde aanvaller met netwerktoegang tot het BIG-IP-systeem via de beheerpoort en/of eigen IP-adressen willekeurige systeemopdrachten uitvoeren, bestanden maken of verwijderen of services uitschakelen”, zei F5 in een advies. “Er is geen blootstelling aan het datavlak; dit is alleen een probleem met het controlevlak.”
Het beveiligingslek, waarvan het bedrijf zei dat het intern werd ontdekt, treft BIG-IP-producten met de volgende versies:
- 16.1.0 – 16.1.2
- 15.1.0 – 15.1.5
- 14.1.0 – 14.1.4
- 13.1.0 – 13.1.4
- 12.1.0 – 12.1.6
- 11.6.1 – 11.6.5
Patches voor de iControl REST authenticatie-bypass-fout zijn geïntroduceerd in versies 17.0.0, 16.1.2.2, 15.1.5.1, 14.1.4.6 en 13.1.5. Andere F5-producten zoals BIG-IQ Centralized Management, F5OS-A, F5OS-C en Traffix SDC zijn niet kwetsbaar voor CVE-2022-1388.
F5 heeft ook tijdelijke oplossingen aangeboden totdat de fixes kunnen worden toegepast –
- Blokkeer iControl REST-toegang via het eigen IP-adres
- Blokkeer iControl REST-toegang via de beheerinterface
- Wijzig de BIG-IP httpd-configuratie
Andere opmerkelijke bugs die als onderdeel van de update zijn opgelost, zijn onder meer die waardoor een geverifieerde aanvaller de beperkingen van de Appliance-modus kan omzeilen en willekeurige JavaScript-code kan uitvoeren in de context van de momenteel ingelogde gebruiker.
Met F5-appliances die op grote schaal worden ingezet in bedrijfsnetwerken, is het absoluut noodzakelijk dat organisaties snel handelen om de patches toe te passen om te voorkomen dat bedreigingsactoren de aanvalsvector misbruiken voor eerste toegang.
De beveiligingsoplossingen komen op het moment dat het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) vijf nieuwe fouten heeft toegevoegd aan zijn… Catalogus met bekende misbruikte kwetsbaarheden gebaseerd op bewijs van actieve uitbuiting –
- CVE-2021-1789 – Kwetsbaarheid van meerdere producttypen van Apple
- CVE-2019-8506 – Kwetsbaarheid van meerdere producttypen van Apple
- CVE-2014-4113 – Microsoft Win32k Privilege Escalation Kwetsbaarheid
- CVE-2014-0322 – Microsoft Internet Explorer Use-after-Free-beveiligingslek
- CVE-2014-0160 – OpenSSL-beveiligingslek met betrekking tot openbaarmaking van informatie
