Vulnérabilités dans F5 BIG-IQ Centralized Management

Date de publication :

CVE-2021-22997 [Score CVSS v3 : 7.5] 

Une vulnérabilité au sein du service BIG-IQ HA ElasticSearch a été corrigée. Cette faille est due à une absence de demande d'authentification pour les services de transport de clustering, les données utilisées par ElasticSearch pour le transport ne sont pas cryptées. Un attaquant distant et non authentifié peut exploiter cette vulnérabilité afin d’accéder à des informations sensibles.

CVE-2021-22996 [Score CVSS v3 : 7.5] 

Une vulnérabilité au sein du cluster BIG-IQ Data Collection Device (DCD) a été corrigée. Lorsqu'il est configuré pour un basculement automatique, un membre du cluster DCD qui reçoit un message non divulgué peut provoquer l'abandon du processus corosync. son exploitation peut permettre à un attaquant distant et non-authentifié de provoquer un déni de service 

CVE-2021-22995 [Score CVSS v3 : 7.5] 

La haute disponibilité (HA) de BIG-IQ, lorsqu'elle utilise un dispositif Quorum pour le basculement automatique, ne met en œuvre aucune forme d'authentification avec le démon Corosync. Un attaquant distant et non-authentifié peut être en mesure d’élever ses privilèges sur les dispositifs vulnérables.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Contournement d’authentification
    Accès non désiré à des informations sensibles
    Déni de service
    Elévation de privilèges

Criticité

    Scores CVSS v3 : 7.5

Existence d’un code d’exploitation

    Aucun code d’exploitation n’est disponible publiquement à l’heure actuelle.

Composants vulnérables

    BIG-IQ Centralized Management versions 6.0.0 à 6.1.0 et 7.0.0 à 7.1.0

CVE

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour le logiciel F5 BIG-IQ vers la version 8.0.0.

Solution de contournement

  • Aucune solution de contournement n’est disponible publiquement à l’heure actuelle.

Liens