Multiples vulnérabilités dans des produits F5

Date de publication :

iControl est l’interface de programmation d’application utilisé par Big-IP et Big-IQ. La version courante utilise REpresentational State Transfer et se nomme iControl REST.

CVE-2022-35243[Score CVSS v3.1: 8.7]

Un défaut dans le mode "Appliance" permet à un attaquant authentifié possédant le rôle "Administrator" de contourner les restrictions de sécurité du mode.

CVE-2022-35728[Score CVSS v3.1: 8.1] 

Un défaut dans la durée de vie d'un jeton utilisé dans l'interface REST d'iControl et généré depuis les options de configuration permet à un attaquant distant et non authentifié, en utilisant le jeton d’un autre utilisateur, d’exécuter du code arbitraire sur le système ou de créer et supprimer des documents sur le système.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Exécution de code arbitraire

    Contournement de la politique de sécurité

Criticité

    Score CVSS v3.1: 8.7 max

La faille est activement exploitée

    Non, pour l’ensemble des CVE présentées.

Un correctif existe

    Oui, pour l’ensemble des CVE présentées.

Une mesure de contournement existe

    Oui, pour l’ensemble des CVE présentées.

La vulnérabilité exploitée est du type

CWE-269: Improper Privilege Management

CWE-613: Insufficient Session Expiration

Détails sur l’exploitation

Pour la CVE-2022-35243

    Vecteur d’attaque : Réseau.

    Complexité de l’attaque : Faible.

    Privilèges nécessaires pour réaliser l’attaque : Authentification compte administrateur.

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour la CVE-2022-35728

    Vecteur d’attaque : Réseau.

    Complexité de l’attaque : Elevé.

    Privilèges nécessaires pour réaliser l’attaque : Aucun.

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Composants vulnérables

Pour la CVE-2022-35243

    Big-IP versions 16.1.0 à 16.1.2

    Big-IP versions 15.1.0 à 15.1.5

    Big-IP versions 14.1.0 à 14.1.4

    Big-IP versions 13.1.0 à 13.1.5

Pour la CVE-2022-35728

    Big-IP version 17.0.0

    Big-IP versions 16.1.0 à 16.1.3

    Big-IP versions 15.1.0 à 15.1.6

    Big-IP versions 14.1.0 à 14.1.5

    Big-IP versions 13.1.0 à 13.1.5

    Big-IQ Centralized Management versions 8.0.0 à 8.1.0

    Big-IQ Centralized Management versions 7.0.0 à 7.1.0

Solutions ou recommandations

  • Mettre à jour Big-IP vers les versions 17.0.0.1, 16.1.3.1, 15.1.6.1, 14.1.5.1 ou à une version supérieure

  • Mettre à jour Big-IQ Centralized Management vers la version 8.2.0

  • Si une mise à jour n’est pas possible, F5 conseille de bloquer iControl Rest (voir ici ou ici pour plus d’informations)

Liens