Importante Vulnerabilità in F5 BIG-IP

Con la presente Yoroi desidera informarla riguardo alla recente scoperta di una grave vulnerabilità sulle tecnologie F5 BIG-IP, piattaforme diffuse in ambito enterprise per la realizzazione di infrastrutture e architetture web sicure, bilanciamento dei carichi e terminazione di connessioni cifrate. La criticità è nota con l’identificativo CVE-2020-5902.

La problematica è causata da lacune nella gestione di particolari richieste HTTP da parte dell’interfaccia di gestione TMUI (Traffic Management User Interface), a causa delle quali un attaccante remoto privo di alcuna autenticazione può riuscire ad eseguire comandi arbitrari sul sistema bersaglio, condizione abilitante ad intrusioni di rete e accessi abusivi alle infrastrutture aziendali. 

Figura. Potenziale Esposizione Internet interfacce TMUI BIG-IP (Source:ShodanHQ)

Il Produttore ha confermato la problematica attraverso il bollettino K52145254 indicando che la vulnerabilità sussiste sul piano di gestione degli appliance e non sulle interfacce dedicate al traffico dati. In particolare risultano vulnerabili le interfacce TMUI delle versioni di BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, FPS, GTM, Link Controller, PEM):

• 15.x (15.1.0) inferiori di 15.1.0.4
• 14.x (14.1.0 - 14.1.2) inferiori di 14.1.2.6
• 13.x (13.1.0 - 13.1.3) inferiori di 13.1.3.4
• 12.x (12.1.0 - 12.1.5) inferiori di 12.1.5.2
• 11.x (11.6.1 - 11.6.5) inferiori di 11.6.5.2

Considerando la potenziale esposizione internet delle interfacce di gestione TMUI, la criticità delle infrastrutture coinvolte e la pubblicazione di dettagli tecnici relativi alla vulnerabilità, Yoroi consiglia caldamente di pianificare con urgenza l’applicazione delle patch di sicurezza messe a disposizione, di appurare lo stato di esposizione internet delle interfacce TMUI e, qualora non fosse possibile aggiornare in tempi celeri, di valutare l’applicazione dei workaround consigliati dal Produttore, ovvero disabilitare l’accesso all’interfaccia TMUI attraverso “Self-IPs” e da parte di sessioni non autenticate.

Yoroi consiglia infine di mantenere alto il livello di consapevolezza degli utenti, avvisandoli periodicamente delle minacce in corso e di utilizzare un team di esperti per salvaguardare la sicurezza del perimetro “cyber”. Per avere un indice di minaccia in tempo reale si consiglia di visitare il seguente link: Yoroi Cyber Security Index