Vulnérabilités dans les produits F5

Date de publication :

De multiples vulnérabilités ont été découvertes dans l’interface TMUI (“Traffic Management User Interface”) utilisée par les produits BIG-IP distribués par F5. Un attaquant distant exploitant ces vulnérabilités peut obtenir des informations sensibles, pousser les utilisateurs à effectuer des actions arbitraires, voire directement exécuter du code et des commandes arbitraires.

CVE-2020-5902 [Score CVSS v3 : 10.0] : Une vulnérabilité de type exécution de commandes et de code arbitraire a été découverte dans TMUI. Un attaquant distant non-authentifié peut exécuter des commandes système ainsi que du code Java arbitraire, via l’utilisation d’un bogue non-spécifié sur certaines pages de l’interface. 

CVE-2020-5904 [Score CVSS v3 : 8.8] : Une vulnérabilité de type CSRF a été découverte dans TMUI. Un attaquant distant non-authentifié peut forcer un utilisateur (tel qu’un administrateur) à exécuter des actions sensibles, dont l’exécution de commandes TMOS Shell. 

CVE-2020-5903 [Score CVSS v3 : 7.5] : Une vulnérabilité de type XSS a été découverte dans TMUI. Un attaquant distant non-authentifié peut forcer l’exécution de code JavaScript par un utilisateur, pouvant résulter en la compromission totale de la machine si ce dernier dispose d’un niveau de privilèges administrateur.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Fuite d’informations sensibles

    Exécution de commande système arbitraires

    Exécution de code arbitraire

    Exécution d’actions arbitraires via la session d’un utilisateur

Criticité

    Score CVSS v3 : 10.0 maximum

Existence d’un code d’exploitation

    Aucun code d’exploitation n’est disponible publiquement à ce jour

Composants vulnérables

    BIG-IP version 15 avant la version 15.1.0.4

    BIG-IP version 14 avant la version 14.1.2.6

    BIG-IP version 13 avant la version 13.1.3.4

    BIG-IP version 12 avant la version 12.1.5.2

    BIG-IP version 11 avant la version 11.6.5.2 (CVE-2020-5902 uniquement)

CVE

    CVE-2020-5902

    CVE-2020-5903

    CVE-2020-5904

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour BIG-IP vers une version non-vulnérable (voir la section “Composants vulnérables”)

Solution de contournement

  • Aucune solution de contournement

Liens