F5 risolve 43 bug di sicurezza sui suoi prodotti. Un RCE con 9,8 di CVSSv3

Redazione RHC : 5 Maggio 2022 18:01

Mercoledì, F5 ha rilasciato correzioni per 43 bug nei suoi prodotti. Delle 43 vulnerabilità, una ha una valutazione di gravità critica, 17 ha una valutazione di gravità alta, 24 ha una valutazione di gravità media e un’altra ha una valutazione di gravità bassa.

La principale tra le vulnerabilità è CVE-2022-1388 con un punteggio CVSS di 9,8 su 10.

Questo bug è dovuto alla mancanza di controlli di autenticazione, che potenzialmente consente a un utente malintenzionato di ottenere il controllo sui sistemi vulnerabili.

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

“La vulnerabilità potrebbe consentire a un utente malintenzionato non autenticato di eseguire comandi di sistema arbitrari, creare o eliminare file o disabilitare servizi pur avendo accesso in rete al sistema BIG-IP tramite la porta di gestione e/o i propri indirizzi IP”

ha affermato la società. 

“La vulnerabilità non influisce in alcun modo sui dati, ma solo sul controllo del sistema”.

Secondo F5, la vulnerabilità è stata scoperta internamente e interessa i prodotti BIG-IP delle seguenti versioni:

• 16.1.0 – 16.1.2
• 15.1.0 – 15.1.5
• 14.1.0 – 14.1.4
• 13.1.0 – 13.1.4
• 12.1.0 – 12.1.6
• 11.6.1 – 11.6.5

Il bypass dell’autenticazione REST di iControl è stato corretto nelle versioni 17.0.0, 16.1.2.2, 15.1.5.1, 14.1.4.6 e 13.1.5. 

Altri prodotti F5 – BIG-IQ Centralized Management, F5OS-A, F5OS-C e Traffix SDC non sono vulnerabili a CVE-2022-1388.

Prima di applicare le correzioni, F5 offriva agli utenti misure di sicurezza temporanee:

• Blocca l’accesso a iControl REST tramite l’indirizzo IP personale.
• Blocca l’accesso a iControl REST tramite l’interfaccia di controllo.
• Modifica la configurazione di httpd BIG-IP.

Un indirizzo IP autonomo è un indirizzo IP nel sistema BIG-IP che un utente associa a una VLAN per accedere agli host in quella VLAN.

Altri bug risolti nell’aggiornamento possono consentire a un utente malintenzionato autenticato di aggirare le restrizioni della modalità Appliance ed eseguire codice JavaScript arbitrario nel contesto dell’utente attualmente connesso.

Poiché i dispositivi F5 sono ampiamente utilizzati nelle reti aziendali, le organizzazioni devono applicare le patch il prima possibile, proteggendo i sistemi dall’accesso iniziale da parte degli hacker.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli