Vulnérabilités dans plusieurs produits F5

Date de publication :

Les deux vulnérabilités ci-dessus affectent respectivement Gdk-Pixbuf version 2.36.6 et plusieurs versions de logiciel Bind. Ces failles impactent également plusieurs logiciels qui utilisent ces technologies dont ceux de l’éditeur F5.

CVE-2017-2862 [Score CVSS v3 : 7.8]

Une vulnérabilité  de type débordement de tas au sein de la fonction gdk_pixbuf__jpeg_image_load_increment de Gdk-Pixbuf a été corrigée. Un fichier jpeg spécialement conçu peut provoquer un dépassement de tas et entraîner l'exécution de code à distance. Un attaquant local et non authentifié peut envoyer un fichier ou un url spécifique afin d’exploiter cette vulnérabilité.

CVE-2021-25215 [Score CVSS v3 : 7.5]

Les enregistrements DNAME, décrits dans la RFC 6672, fournissent un moyen de rediriger un sous-arbre de l'arbre des noms de domaine dans le DNS. Une faille dans la façon dont la fonction named traite ces enregistrements peut déclencher une tentative d'ajouter la même trame RRset à la section ANSWER plus d'une fois. Cela entraîne l'échec d'une vérification d'assertion dans BIND.

Les enregistrements DNAME sont traités à la fois par les serveurs faisant autorité et par les serveurs récursifs. Pour les serveurs faisant autorité, l'enregistrement DNAME déclenchant la faille peut être récupéré dans une base de données de zone. Pour les serveurs récursifs, un tel enregistrement est traité au cours d'une requête envoyée à un serveur faisant autorité.

Lorsqu'une version vulnérable de la fonction named reçoit une requête pour un enregistrement déclenchant la faille décrite ci-dessus, le processus named s'arrête en raison de l'échec de la vérification d'assertion créant ainsi une condition de déni de service.

Cette vulnérabilité peut être exploitée par un attaquant distant et non authentifié.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Exécution de code arbitraire
    Déni de service

Criticité

    Scores CVSS v3 : 7.8 max

Existence d’un code d’exploitation

    Aucun code d’exploitation n’est disponible à l’heure actuelle.

Composants vulnérables

La version 5.1.0 de F5 Traffix SDC est impactée par la CVE-2021-25215.

Les versions suivantes de F5 BIG-IP sont impactées par la CVE-2017-2862 :

    De 16.0.0 à 16.0.1
    De 15.1.0 à 15.1.3
    De 14.1.0 à 14.1.4
    De 13.1.0 à 13.1.4
    De 12.1.0 à 12.1.6
    De 11.6.1 à 11.6.5

Les versions suivantes de F5 BIG-IQ Centralized Management sont impactées par la CVE-2017-2862 :

    8.0.0
    De 7.0.0 à 7.1.0
    De 6.0.0 à 6.1.0

CVE

Solutions ou recommandations

Mise en place de correctifs de sécurité

Concernant la CVE-2017-2862,

  • Aucun correctif de sécurité n’est proposé à l’heure actuelle.

Concernant la CVE-2021-25215,

 

Solution de contournement

  • Aucune solution de contournement n’est disponible publiquement à l’heure actuelle.

Liens