F5 BIG-IP: Hotfix corrige vulnerabilidade que permite ataques de execução remota de código.

Uma vulnerabilidade crítica no configuration utility do F5 BIG-IP, reportada no CVE-2023-46747, permite que um invasor com acesso remoto ao utilitário de configuração execute um código sem se autenticar.

A falha recebeu uma pontuação CVSS v3.1 de 9,8, classificando-a como “crítica”, pois pode ser explorada sem autenticação em ataques de baixa complexidade.

“Esta vulnerabilidade pode permitir que um invasor não autenticado com acesso de rede ao sistema BIG-IP através da porta de gerenciamento e/ou endereços IP próprios execute comandos arbitrários do sistema”,  diz o boletim de segurança da F5 .

Interface exposta

Os ataques exploram a interface do usuário de gerenciamento de tráfego (TMUI).

Dificílmente os administradores do equipamento deixarão a interface exposta a internet, no entanto, como o TMUI normalmente é exposta internamente, um agente de ameaça que já tenha comprometido a rede poderá explorar a falha.

As versões afetadas do BIG-IP são as seguintes:

• 17.x: 17.1.0
• 16.x: 16.1.0 – 16.1.4
• 15.x: 15.1.0 – 15.1.10
• 14.x: 14.1.0 – 14.1.5
• 13.x: 13.1.0 – 13.1.5

CVE-2023-46747 não afeta os produtos BIG-IP Next, BIG-IQ Centralized Management, F5 Distributed Cloud Services, F5OS, NGINX e Traffix SDC.

Versões de produtos não suportados que atingiram EoL (fim de vida útil) não foram avaliadas em relação ao CVE-2023-46747, portanto, podem ou não estar vulneráveis. 

Devido aos riscos envolvidos na utilização dessas versões, a recomendação é atualizar para uma versão suportada o mais rápido possível.

Descoberta da vulnerabilidade.

O problema foi descoberto pelos pesquisadores da Praetorian Security, Thomas Hendrickson e Michael Weber, que relataram ao fornecedor em 5 de outubro de 2023.
Os detalhes técnicos sobre CVE-2023-46747 foram compartilhados por meio de uma postagem no blog e prometem divulgar todos os detalhes de exploração assim que a correção do sistema for iniciada.

Hotfix

A F5 publicou a atualização de segurança junto com o comunicado em 26 de outubro de 2023.

As versões de atualização recomendadas que resolvem a vulnerabilidade são:

17.1.0.3 + Hotfix-BIGIP-17.1.0.3.0.75.4-ENG
16.1.4.1 + Hotfix-BIGIP-16.1.4.1.0.50.5-ENG
15.1.10.2 + Hotfix-BIGIP-15.1.10.2.0.44.2-ENG
14.1.5.6 + Hotfix-BIGIP-14.1.5.6.0.10.6-ENG
13.1.5.1 + Hotfix-BIGIP-13.1.5.1.0.20.2-ENG

Script

A F5 também forneceu um script  para ajudar os administradores a aplicar a atualização de segurança para mitigar o problema.
Obs.: o script é adequado apenas para versões 14.1.0 e posteriores do BIG-IP.
 Além disso, recomenda-se cautela para aqueles com uma licença de modo compatível com FIPS 140-2, pois o script de mitigação pode causar falhas na verificação de integridade do FIPS.

Para aplicar a mitigação usando o script fornecido pela F5, siga as etapas abaixo:

1. Baixe  e salve o script no sistema BIG-IP afetado
2. Renomeie o arquivo .txt para ter a extensão .sh, como, por exemplo, 'mitigation.sh'.
3. Faça login na linha de comando do sistema BIG-IP afetado como usuário root
4. Use o utilitário chmod para tornar o script executável ('chmod +x /root/mitigation.sh && touch /root/mitigation.sh')
5. Execute o script  '/root/mitigation.sh'

Mas não deixe de ler o artigo K000137353 da F5 Networks, que tem todas as informações em como aplicar a correção no BIG-IP. 

Como os dispositivos F5 BIG-IP são usados ​​por governos, bancos, provedores de serviços e grandes marcas de consumo, é altamente recomendável aplicar as correções ou mitigações disponíveis para evitar a exploração desses dispositivos.

Parece obvio, mas é bom alertar que interface do usuário de gerenciamento de tráfego (TMUI) nunca deve ser exposta à Internet.

Desejo sucesso em sua jornada!