Bezpečnostné zraniteľnosti v BIG-IP Next Central Manager
Spoločnosť F5 vydala bezpečnostné aktualizácie na svoj produkt BIG-IP Next Central Manager, ktoré možno zneužiť na vykonanie SQL a OData injekcie a následné získanie úplnej kontroly nad zraniteľnými systémami.
Zraniteľné systémy:
- BIG-IP Next Central Manager vo verzii 20.X staršej ako 20.2.0
Opis činnosti:
Spoločnosť Veeam vydala bezpečnostné aktualizácie, ktoré opravujú kritickú bezpečnostnú zraniteľnosť nástroja Veeam Service Provider Console. Zneužitie zraniteľnosti umožňuje vzdialené vykonanie škodlivého kódu. Na uvedené zraniteľnosti sú dostupné proof-of-concept kódy demonštrujúce mechanizmus ich zneužitia.
CVE-2024-26026 (CVSS skóre 8,6)
CVE-2024-26026 spočíva v nedostatočnom overovaní používateľských vstupov a vzdialený neautentifikovaný útočník by ju mohol zneužiť na realizáciu SQL injekcie, získanie citlivých údajov, obídenie autentifikácie a následné získanie úplnej kontroly nad systémom.
CVE-2024-21793 (CVSS skóre 7,5)
Zraniteľnosť s označením CVE-2024-21793 spočíva v nesprávnom spracovávaní OData dopytov, ktoré umožňuje injekciu do parametra „filter“. Zneužitím zraniteľnosti možno získať neoprávnený prístup k citlivým údajom ako sú napr. prihlasovacie údaje administrátorských účtov pre získanie úplnej kontroly nad systémom. Zraniteľnosť je možné zneužiť len v prípade, že je aktivované overovanie prostredníctvom LDAP. Útočník nepotrebuje autentifikáciu.
Možné škody:
- Vzdialené vykonanie kódu
- Neoprávnený prístup k citlivým údajom
- Neoprávnená zmena v systéme
Odporúčania:
Výrobca odporúča aktualizovať zraniteľné BIG-IP Next Central Manager na verziu 20.2.0 a prostredníctvom sieťových a bezpečnostných prvkov umožňovať prístup k manažmentovým rozhraniam produktov F5 len z dôveryhodných zariadení a sietí.
Zdroje:
https://my.f5.com/manage/s/article/K000138732
https://my.f5.com/manage/s/article/K000138733
https://eclypsium.com/blog/big-vulnerabilities-in-next-gen-big-ip/