F5 risolve 43 bug di sicurezza sui suoi prodotti. Un RCE con 9,8 di CVSSv3

5 Maggio 2022 18:01

Mercoledì, F5 ha rilasciato correzioni per 43 bug nei suoi prodotti. Delle 43 vulnerabilità, una ha una valutazione di gravità critica, 17 ha una valutazione di gravità alta, 24 ha una valutazione di gravità media e un’altra ha una valutazione di gravità bassa.

La principale tra le vulnerabilità è CVE-2022-1388 con un punteggio CVSS di 9,8 su 10.

Cybersecurity Awareness efficace? Scopri BETTI RHC!

Sei un’azienda innovativa, che crede nella diffusione dei concetti attraverso metodi non convenzionali? Il fumetto Betti RHC nasce con questo spirito: trasformare la formazione in cybersecurity in un’esperienza coinvolgente, narrativa e memorabile. Attraverso una Graphic Novel dal linguaggio diretto e contemporaneo, Red Hot Cyber racconta scenari realistici di attacchi informatici, errori umani e buone pratiche, rendendo accessibili anche i temi più complessi della sicurezza digitale.

Contattaci tramite WhatsApp al numero 375 593 1011o alla casella di posta graphicnovel@redhotcyber.com per saperne di più.

Questo bug è dovuto alla mancanza di controlli di autenticazione, che potenzialmente consente a un utente malintenzionato di ottenere il controllo sui sistemi vulnerabili.

“La vulnerabilità potrebbe consentire a un utente malintenzionato non autenticato di eseguire comandi di sistema arbitrari, creare o eliminare file o disabilitare servizi pur avendo accesso in rete al sistema BIG-IP tramite la porta di gestione e/o i propri indirizzi IP”

ha affermato la società.

“La vulnerabilità non influisce in alcun modo sui dati, ma solo sul controllo del sistema”.

Secondo F5, la vulnerabilità è stata scoperta internamente e interessa i prodotti BIG-IP delle seguenti versioni:

16.1.0 – 16.1.2
15.1.0 – 15.1.5
14.1.0 – 14.1.4
13.1.0 – 13.1.4
12.1.0 – 12.1.6
11.6.1 – 11.6.5

Il bypass dell’autenticazione REST di iControl è stato corretto nelle versioni 17.0.0, 16.1.2.2, 15.1.5.1, 14.1.4.6 e 13.1.5.

Altri prodotti F5 – BIG-IQ Centralized Management, F5OS-A, F5OS-C e Traffix SDC non sono vulnerabili a CVE-2022-1388.

Prima di applicare le correzioni, F5 offriva agli utenti misure di sicurezza temporanee:

Blocca l’accesso a iControl REST tramite l’indirizzo IP personale.
Blocca l’accesso a iControl REST tramite l’interfaccia di controllo.
Modifica la configurazione di httpd BIG-IP.

Un indirizzo IP autonomo è un indirizzo IP nel sistema BIG-IP che un utente associa a una VLAN per accedere agli host in quella VLAN.

Altri bug risolti nell’aggiornamento possono consentire a un utente malintenzionato autenticato di aggirare le restrizioni della modalità Appliance ed eseguire codice JavaScript arbitrario nel contesto dell’utente attualmente connesso.

Poiché i dispositivi F5 sono ampiamente utilizzati nelle reti aziendali, le organizzazioni devono applicare le patch il prima possibile, proteggendo i sistemi dall’accesso iniziale da parte degli hacker.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks