F5 درباره آسیب‌پذیری حساس و جدید RCE BIG-IP هشدار می‌دهد

دسته بندی ها : آسیب پذیری, اخبار ۲۴ اردیبهشت ۱۴۰۱ آپا دانشگاه تبریز 89 بازدید
f5

تأمین‌کننده امنیت ابری و شبکه تحویل برنامه (ADN) F5 روز چهارشنبه وصله‌هایی را منتشر کرد که حاوی ۴۳ باگ است که محصولاتش را در بر می‌گرفت.

از ۴۳ موضوعی که به آن پرداخته شد، یکی از آنها دارای رتبه بحرانی، ۱۷ مورد دارای رتبه بالا، ۲۴ مورد دارای رتبه متوسط و یکی از آنها با درجه اهمیت پایین رتبه بندی شده است.

مهمترین نقص CVE-2022-1388 است که دارای امتیاز CVSS 9.8 از حداکثر ۱۰ امتیاز است. این آسیب پذیری ناشی از عدم بررسی احراز هویت است که به طور بالقوه به مهاجم اجازه می دهد تا کنترل سیستم آسیب دیده را در دست بگیرد.

F5 در جلسه مشورتی گفت: “این آسیب پذیری ممکن است به یک مهاجم احراز هویت نشده با دسترسی شبکه به سیستم BIG-IP از طریق پورت مدیریت و/ یا از طریق آدرس های IP خود اجازه دهد تا دستورات سیستم دلخواه را اجرا کند، فایل ها را ایجاد یا حذف کند یا خدمات را غیرفعال کند.”  “هیچ نوع افشای سطح کنترل ( control plane  (رخ نداده است، این فقط یک مسئله در سطح داده (data (planeاست.”

این آسیب پذیری امنیتی که شرکت ادعا می­کند در داخل مجموعه کشف شده است، بر محصولات BIG-IP با نسخه های زیر تأثیر می‌گذارد.

  • ۱۶.۱.۰ – ۱۶.۱.۲
  • ۱۵.۱.۰ – ۱۵.۱.۵
  • ۱۴.۱.۰ – ۱۴.۱.۴
  • ۱۳.۱.۰ – ۱۳.۱.۴
  • ۱۲.۱.۰ – ۱۲.۱.۶
  • ۱۱.۶.۱ – ۱۱.۶.۵

وصله‌های مربوط به نقص دور زدن احراز هویت iControl REST در نسخه‌های ۱۷.۰.۰، ۱۶.۱.۲.۲، ۱۵.۱.۵.۱، ۱۴.۱.۴.۶ و ۱۳.۱.۵ معرفی شده‌اند. سایر محصولات F5 مانند BIG-IQ Centralized Management، F5OS-A، F5OS-C و Traffix SDC در برابر CVE-2022-1388 آسیب پذیر نیستند.

 

F5 همچنین راه‌حل‌های موقتی را ارائه کرده است تا زمانی که اصلاحات قابل اعمال باشند:

دسترسی iControl REST را از طریق آدرس IP خود مسدود کنید.

دسترسی iControl REST را از طریق رابط مدیریت مسدود کنید.

پیکربندی httpd BIG-IP را تغییر دهید.

سایر اشکالات قابل توجهی که به عنوان بخشی از به روز رسانی حل شده اند عبارتند از مواردی که می تواند به مهاجم احرازهویت شده اجازه دهد محدودیت های حالت Appliance را دور بزند و کد جاوا اسکریپت دلخواه را در زمینه کاربر وارد شده فعلی اجرا کند.

با توجه به اینکه وسایل F5 به طور گسترده در شبکه‌های سازمانی مستقر شده‌اند، ضروری است که سازمان‌ها به سرعت اقدام به اعمال وصله‌ها کنند تا از سوء استفاده عوامل تهدید ازمسیر حمله برای دسترسی اولیه جلوگیری شود.

اصلاحات امنیتی در حالی صورت می‌گیرد که آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده ‌CISA)) پنج نقص جدید را بر اساس شواهدی مبنی بر اکسپلویت فعال به کاتالوگ آسیب‌پذیری‌های مورد سوء استفاده شناخته شده اضافه کرده است.

 

CVE-2021-1789 – آسیب پذیری چند محصول اپل از نوع Confusion

CVE-2019-8506 – آسیب پذیری چند محصول اپل از نوع Confusion

CVE-2014-4113 – آسیب پذیری افزایش امتیاز Microsoft Win32k

CVE-2014-0322 – آسیب پذیری استفاده پس از رایگان (( Use-After-Free Microsoft Internet Explorer

CVE-2014-0160 – آسیب پذیری افشای اطلاعات OpenSSL

 

اخبار آسیب‌پذی‌ها را از وبسایت آپا بخش آسیب‌پذیری‌ها دنبال کنید.

راه آسان‌تری برای ارتباط با کاربران‌مان پیدا کرده‌ایم :) عضویت در کانال

نظرات کاربران

    دیدگاهتان را بنویسید

    نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *

    لینک کوتاه :