Kritische Schwachstelle in BIG-IP

Kommentar von Satnam Narang, Staff Research Engineer bei Tenable, zu einer kritischen Schwachstelle in F5 BIG-IP, die im Rahmen einer Sicherheitsbenachrichtigung (QSN) von F5 veröffentlicht wurde.

„Im Rahmen der Quarterly Security Notifications (QSNs) von F5 wurde eine kritische Schwachstelle in BIG-IP, einer Familie von Hardware- und Softwarelösungen für die Anwendungsbereitstellung und das zentralisierte Gerätemanagement, bekannt gegeben. Bei der als CVE-2022-1388 bezeichneten Schwachstelle handelt es sich um eine Sicherheitslücke zur Umgehung der Authentifizierung, die mit einem CVSSv3-Score von 9,8 bewertet wurde. Sie kann von einem nicht authentifizierten Angreifer ausgenutzt werden, der in der Lage ist, auf den Management-Port und/oder die eigenen IP-Adressen von Geräten zuzugreifen, die BIG-IP verwenden. Die Schwachstelle befindet sich in der REST-Komponente von BIG-IP iControl, einer offenen API, die für die Verwaltung und Konfiguration dieser Geräte verwendet wird.

Bereits in der Vergangenheit haben Angreifer Schwachstellen in F5 BIG-IP bevorzugt. Im Jahr 2021 wurde mit CVE-2021-22986 eine weitere Schwachstelle in der iControl-REST-Komponente von BIG-IP bekannt und anschließend in freier Wildbahn ausgenutzt. Eine andere BIG-IP-Schwachstelle, CVE-2020-5902, im Juli 2020 bekannt gegeben, wurde ebenfalls schnell von Angreifern ausgenutzt. Wir haben zwar noch keinen öffentlichen Exploit für CVE-2022-1388 gesehen, aber es ist nur eine Frage der Zeit, bis Forscher und in der Folge dann Kriminelle den Proof-of-Concept-Exploit-Code für diese Sicherheitslücke beschaffen. Wenn ein Unternehmen BIG-IP einsetzt, ist die Anwendung der heute veröffentlichten Patches von größter Bedeutung. Falls ein Patching zum jetzigen Zeitpunkt nicht möglich ist, hat F5 in seiner Wissensdatenbank einige Hinweise zum Schutz vor dieser Schwachstelle bereitgestellt.“