Basque Cyber Security Centre - Zibersegurtasun Euskal Zentroa

Argitalpen data: 2020/04/30

Garrantzia: Altua

Kaltetutako baliabideak:

• BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, FPS, GTM, Link Controller, PEM), honako bertsio hauek: 
  • 11.6.1 bertsiotik 11.6.5 bertsiora bitartekoak;
  • 12.1.0 bertsiotik 12.1.5 bertsiora bitartekoak;
  • 13.1.0 bertsiotik 13.1.3 bertsiora bitartekoak;
  • 14.0.0 bertsiotik 14.1.2 bertsiora bitartekoak;
  • 15.0.0 bertsiotik 15.0.1 bertsiora bitartean, eta 15.1.0.
• BIG-IQ Centralized Management, honako bertsioak:
  • 5.3.0 bertsiotik 5.4.0 bertsiora bitartekoak;
  • 6.0.0 bertsiotik 6.1.0 bertsiora bitartekoak;
  • 7.0.0 bertsiotik 7.1.0 bertsiora bitartekoak.

Azalpena:

8 ahultasun aurkitu dira F5en hainbat produktutan, guztiak larritasun altukoak, era hauetakoak: zifratuen erabilpena backend zerbitzarietan, hardware-aren azelerazio kriptografikoan akatsa, scp (secure copy) bidez asmo gaiztoko eskaeraren bidalketa, bereziki diseinatutako eskaeren bidalketa zerbitzari birtual batera, nukleoaren fitxategia sortzea eta TMM (Traffic Management Microkernel) berrabiatzea, sinkronizazio peer berri batera zifratu gabeko konexio saioak, gaizki sortutako sarrera datuak eta ustekabeko IP trafikoaren prozesamendua.

Konponbidea:

BIG-IP ondoko bertsioetako batera eguneratzea:

• 11.6.5.1,
• 12.1.5, 12.1.5.1;
• 13.1.3.2,
• 14.0.1.1, 14.1.2.4;
• 15.0.0, 15.0.1.1, 15.0.1.2, 15.0.1.3, 15.1.0, 15.1.0.2.

Xehetasuna:

Erabiltzaile batek aipatutako ahultasunak baliatuko balitu, kaltetutako produktuetan honako ekintza hauek egin litzake:

• zerbitzuaren ukapena (DoS),
• akatsengatik kommutazio gertakaria (failover event),
• komando arbitrarioen exekuzioa pribilegio altuekin,
• zerbitzua etetea,
• trafikoaren fluxua etetea, akatsengatik kommutazio bat sortuz (failover) itxaroten dagoen sistema batera,
• sisteman informazio sentikorra eskuratu edota aldatu,
• akatsa trafikoa prozesatzean.

Ahultasun horietarako CVE-2020-5871, CVE-2020-5872, CVE-2020-5873, CVE-2020-5874, CVE-2020-5875, CVE-2020-5876, CVE-2020-5877 eta CVE-2020-5878 identifikatzaileak erreserbatu dira.

Etiketak: Eguneraketa, Ahultasuna