Parches para dispositivos F5 BIG-IP y BIG-IQ Devices

El proveedor de dispositivos de red F5 ha publicado parches para más de dos docenas de vulnerabilidades de seguridad que afectan a múltiples versiones de dispositivos BIG-IP y BIG-IQ que podrían permitir a un atacante realizar una amplia gama de acciones maliciosas, incluido el acceso a archivos arbitrarios, escalamiento de privilegios y ejecución de código JavaScript.

De los 29 errores solucionados, 13 son defectos de gravedad alta, 15 se clasifican como medios y uno tiene una gravedad baja.

El principal de ellos es CVE-2021-23031 (puntuación CVSS: 8,8), una vulnerabilidad que afecta a BIG-IP Advanced Web Application Firewall y BIG-IP Application Security Manager que permite a un usuario autenticado realizar una escalamiento de privilegios. "Cuando se explota esta vulnerabilidad, un atacante autenticado con acceso a la utilidad de configuración puede ejecutar comandos arbitrarios del sistema, crear o eliminar archivos y / o deshabilitar servicios. Esta vulnerabilidad puede resultar en un compromiso total del sistema", dijo F5 en su aviso.

Vale la pena señalar que para los clientes que ejecutan el dispositivo en modo Appliance. La misma vulnerabilidad viene con una calificación crítica de 9,9 sobre 10. "Como este ataque lo llevan a cabo usuarios legítimos y autenticados, no hay una mitigación viable que además también permita a los usuarios acceder a la configuración. La única mitigación es eliminar el acceso a los usuarios que no son completamente confiables", dijo la compañía.

Las otras vulnerabilidades importantes resueltas por F5 se enumeran a continuación:

• CVE-2021-23025 (CVSS score: 7.2) - Authenticated remote command execution vulnerability in BIG-IP Configuration utility
• CVE-2021-23026 (CVSS score: 7.5) - Cross-site request forgery (CSRF) vulnerability in iControl SOAP
• CVE-2021-23027 and CVE-2021-23037 (CVSS score: 7.5) - TMUI DOM-based and reflected cross-site scripting (XSS) vulnerabilities
• CVE-2021-23028 (CVSS score: 7.5) - BIG-IP Advanced WAF and ASM vulnerability
• CVE-2021-23029 (CVSS score: 7.5) - BIG-IP Advanced WAF and ASM TMUI vulnerability
• CVE-2021-23030 and CVE-2021-23033 (CVSS score: 7.5) - BIG-IP Advanced WAF and ASM Websocket vulnerabilities
• CVE-2021-23032 (CVSS score: 7.5) - BIG-IP DNS vulnerability
• CVE-2021-23034, CVE-2021-23035, and CVE-2021-23036 (CVSS score: 7.5) - Traffic Management Microkernel vulnerabilities

Además, F5 también ha parcheado una serie de fallas que van desde la vulnerabilidad de path traversal e inyección de SQL hasta la vulnerabilidad de redireccionamiento abierto y la falsificación de solicitudes entre sitios, así como una falla en la base de datos MySQL que hace que la base de datos consuma más espacio de almacenamiento de lo esperado, cuando las funciones de protección contra fuerza del firewall están habilitadas.

Dado que los dispositivos F5 a menudo se convierten en objetivos jugosos para los intentos de explotación activos por parte de los actores de amenazas, se recomienda encarecidamente que los usuarios y administradores instalen software actualizado o apliquen las mitigaciones necesarias lo antes posible.

Fuente: THN

Suscríbete a nuestro Boletín