Basque Cyber Security Centre - Zibersegurtasun Euskal Zentroa

Hainbat ahultasun F5en BIG-IPn

Argitalpen data: 2018/08/17

Garrantzia: Handia

Kaltetutako baliabideak:

  • BIG-IP APM-clients, ondoko bertsioak
    • 7.1.5 - 7.1.7
  • BIG-IP APM, ondoko bertsioak
    • 14.0.0
    • 13.0.0 - 13.1.1
    • 12.1.0 - 11.6.3
    • 11.5.1 - 11.6.3

  • BIG-IP Edge Client, ondoko bertsioak:
    • 7101 - 7150


Azalpena:

Larritasun altuko hainbat ahultasun aurkitu dira BIG-IP plataformako produktuen hainbat modulutan. Ahultasun horiek baliatuz, pribilegio lokalik gabeko erabiltzaile batek informazio konfidentzialera sarbidea izan lezake, hainbat datu manipulatu, bezeroaren host lokalean supererabiltzaile pribilegioak hartu edo administratzaile pribilegioak eskuratu.

Konponbidea:

F5ek erabiltzaileen eskura jarri ditu ondoko konponbideak:

  • BIG-IP APM client produktuaren kasuan, 7.1.x adarreko bertsioetarako, 7.1.7.1 bertsiora eguneratzea.
  • BIG-IP APM produktuaren kasuan, 13.1.0 eta ondorengo bertsioak dituena, APM client osagaiak BIG-IP softwaretik modu independentean eguneratu daitezke. Informazio gehiago eskuratzeko, K52547540 orria kontsultatu: BIG-IP Edge Client-en eguneraketa BIG-IP APM sistemarako.
  • BIG-IP Edge Client-en bertsio kaltetuetan APM client osagaiak eguneratzeko, fabrikatzailearen webgunean adierazten den BIG-IP APMen software bertsioa eguneratu.

Xehetasuna:

Aurkitutako ahultasunak honakoak dira:

  • BIG-IP APMren bezeroaren Windows saioa hasteko integrazio ezaugarriak modu lehenetsian erabiltzen du sarerako sarbidea ezartzeko sistemaren kontutik heredatutako saioaren hasiera modua. Funtzio horrek erakusten duen erabiltzaile interfazearen elkarrizketa koadroak lotura dauka ziurtagirien politikara. Loturan klikatzean pribilegiorik gabeko erabiltzaileek elkarrizketa koadro gehigarriak ireki ditzakete eta makina lokalaren Windows nabigatzailera sarbidea lortu. Eta nabigatzaile hori administratzaile pribilegioak eskuratzeko erabil daiteke. Windowsen saio hasierako integrazioa ahula da administratzaile batek APM client instalatzen duenean erabiltzaile makina batean.
  • Linux eta MacOSrako 7.1.7.1 bertsioa baino lehenagoko BIG-IP APM client-en  svpn eta policyserver osagaiak pribilegiodun prozesu baten modura exekutatzen dira. Hori baliatuz, pribilegiorik gabeko erabiltzaile batek administratzailearen jabetzakoak diren bezeroaren hosteko fitxategiak jabetzan har ditzake.

Etiketak: Eguneraketa, Komunikazioak, Ahultasuna