BDU:2022-02849

Опубликовано: 05 мая 2022

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Критический

Описание

Уязвимость интерфейса iControl REST API средств защиты приложений BIG-IP связана с отсутствием проверки подлинности для критически важной функции. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнять произвольные команды, изменять или удалять файлы

Вендор

F5 Networks, Inc.

Наименование ПО

BIG-IP Access Policy Manager

BIG-IP Advanced Firewall Manager

BIG-IP Analytics

BIG-IP Application Acceleration Manager

BIG-IP Application Security Manager

BIG-IP Link Controller

BIG-IP Local Traffic Manager

BIG-IP Policy Enforcement Manager

BIG-IP Domain Name System

BIG-IP Fraud Protection Service

Версия ПО

от 11.6.1 до 11.6.5 включительно (BIG-IP Access Policy Manager)

от 12.1.0 до 12.1.6 включительно (BIG-IP Access Policy Manager)

от 16.1.0 до 16.1.2.2 (BIG-IP Access Policy Manager)

от 15.1.0 до 15.1.5.1 (BIG-IP Access Policy Manager)

от 14.1.0 до 14.1.4.6 (BIG-IP Access Policy Manager)

от 13.1.0 до 13.1.5 (BIG-IP Access Policy Manager)

от 11.6.1 до 11.6.5 включительно (BIG-IP Advanced Firewall Manager)

от 12.1.0 до 12.1.6 включительно (BIG-IP Advanced Firewall Manager)

от 13.1.0 до 13.1.5 (BIG-IP Advanced Firewall Manager)

от 14.1.0 до 14.1.4.6 (BIG-IP Advanced Firewall Manager)

от 15.1.0 до 15.1.5.1 (BIG-IP Advanced Firewall Manager)

от 16.1.0 до 16.1.2.2 (BIG-IP Advanced Firewall Manager)

от 11.6.1 до 11.6.5 включительно (BIG-IP Analytics)

от 12.1.0 до 12.1.6 включительно (BIG-IP Analytics)

от 13.1.0 до 13.1.5 (BIG-IP Analytics)

от 14.1.0 до 14.1.4.6 (BIG-IP Analytics)

от 15.1.0 до 15.1.5.1 (BIG-IP Analytics)

от 16.1.0 до 16.1.2.2 (BIG-IP Analytics)

от 11.6.1 до 11.6.5 включительно (BIG-IP Application Acceleration Manager)

от 12.1.0 до 12.1.6 включительно (BIG-IP Application Acceleration Manager)

от 13.1.0 до 13.1.5 (BIG-IP Application Acceleration Manager)

от 14.1.0 до 14.1.4.6 (BIG-IP Application Acceleration Manager)

от 15.1.0 до 15.1.5.1 (BIG-IP Application Acceleration Manager)

от 16.1.0 до 16.1.2.2 (BIG-IP Application Acceleration Manager)

от 11.6.1 до 11.6.5 включительно (BIG-IP Application Security Manager)

от 12.1.0 до 12.1.6 включительно (BIG-IP Application Security Manager)

от 13.1.0 до 13.1.5 (BIG-IP Application Security Manager)

от 14.1.0 до 14.1.4.6 (BIG-IP Application Security Manager)

от 15.1.0 до 15.1.5.1 (BIG-IP Application Security Manager)

от 16.1.0 до 16.1.2.2 (BIG-IP Application Security Manager)

от 11.6.1 до 11.6.5 включительно (BIG-IP Link Controller)

от 12.1.0 до 12.1.6 включительно (BIG-IP Link Controller)

от 13.1.0 до 13.1.5 (BIG-IP Link Controller)

от 14.1.0 до 14.1.4.6 (BIG-IP Link Controller)

от 15.1.0 до 15.1.5.1 (BIG-IP Link Controller)

от 16.1.0 до 16.1.2.2 (BIG-IP Link Controller)

от 11.6.1 до 11.6.5 включительно (BIG-IP Local Traffic Manager)

от 12.1.0 до 12.1.6 включительно (BIG-IP Local Traffic Manager)

от 13.1.0 до 13.1.5 (BIG-IP Local Traffic Manager)

от 14.1.0 до 14.1.4.6 (BIG-IP Local Traffic Manager)

от 15.1.0 до 15.1.5.1 (BIG-IP Local Traffic Manager)

от 16.1.0 до 16.1.2.2 (BIG-IP Local Traffic Manager)

от 11.6.1 до 11.6.5 включительно (BIG-IP Policy Enforcement Manager)

от 12.1.0 до 12.1.6 включительно (BIG-IP Policy Enforcement Manager)

от 13.1.0 до 13.1.5 (BIG-IP Policy Enforcement Manager)

от 14.1.0 до 14.1.4.6 (BIG-IP Policy Enforcement Manager)

от 15.1.0 до 15.1.5.1 (BIG-IP Policy Enforcement Manager)

от 16.1.0 до 16.1.2.2 (BIG-IP Policy Enforcement Manager)

от 11.6.1 до 11.6.5 включительно (BIG-IP Domain Name System)

от 12.1.0 до 12.1.6 включительно (BIG-IP Domain Name System)

от 13.1.0 до 13.1.5 (BIG-IP Domain Name System)

от 14.1.0 до 14.1.4.6 (BIG-IP Domain Name System)

от 15.1.0 до 15.1.5.1 (BIG-IP Domain Name System)

от 16.1.0 до 16.1.2.2 (BIG-IP Domain Name System)

от 11.6.1 до 11.6.5 включительно (BIG-IP Fraud Protection Service)

от 12.1.0 до 12.1.6 включительно (BIG-IP Fraud Protection Service)

от 13.1.0 до 13.1.5 (BIG-IP Fraud Protection Service)

от 14.1.0 до 14.1.4.6 (BIG-IP Fraud Protection Service)

от 15.1.0 до 15.1.5.1 (BIG-IP Fraud Protection Service)

от 16.1.0 до 16.1.2.2 (BIG-IP Fraud Protection Service)

Тип ПО

ПО сетевого программно-аппаратного средства

Сетевое средство

Средство защиты

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- блокирование доступа к iControl REST через собственный IP-адрес;

- изменение TCP-портов 443 и 8443, используемых по умолчанию;

- блокирование доступа к iControl REST через интерфейс управления;

- изменение конфигурации BIG-IP httpd

Войти в оболочку TMOS ( tmsh ) системы BIG-IP, введя следующую команду:

tmsh

Открыть конфигурацию httpd для редактирования, введя следующую команду:

edit /sys httpd all-properties

Найти строку, начинающуюся с include none , и замените none следующим текстом:

Примечание . Если текущий оператор включения уже содержит конфигурацию, отличную от none, добавьте следующую конфигурацию в конец текущей конфигурации в пределах существующих символов двойных кавычек ( " ).

"<If \"%{HTTP:connection} =~ /close/i \">

RequestHeader set connection close

</If>

RequestHeader set connection keep-alive

</ElseIf>

<Else>

RequestHeader set connection close

</Else>"

После обновления оператора include использовать клавишу ESC, чтобы выйти из интерактивного режима редактора, затем сохраните изменения, введя следующую команду:

:wq

В ответ на приглашение Сохранить изменения (y/n/e) выбрать y , чтобы сохранить изменения.

Сохраните конфигурацию BIG-IP, введя следующую команду:

save /sys config

Источник информации:

https://support.f5.com/csp/article/K23605346

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-1388
CVE

EPSS

Процентиль: 100%

0.94456

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2022-1388

CVSS3: 9.8

nvd

почти 4 года назад

On F5 BIG-IP 16.1.x versions prior to 16.1.2.2, 15.1.x versions prior to 15.1.5.1, 14.1.x versions prior to 14.1.4.6, 13.1.x versions prior to 13.1.5, and all 12.1.x and 11.6.x versions, undisclosed requests may bypass iControl REST authentication. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated

GHSA-mrph-rvc3-cv97

CVSS3: 9.8

github

почти 4 года назад

EPSS

Процентиль: 100%

0.94456

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2