Basque Cyber Security Centre - Zibersegurtasun Euskal Zentroa

Hainbat ahultasun F5 produktuetan

Argitalpen data: 2019/11/27

Garrantzia: Altua

Kaltetutako baliabideak: 

  • BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, Edge Gateway, FPS, GTM, Link Controller, PEM, WebAccelerator), honako bertsio hauek: 
    • 15.0.0 - 15.0.1;
    • 14.1.0 - 14.1.2;
    • 14.0.0 - 14.0.1;
    • 13.1.0 - 13.1.3.1;
    • 12.1.0 - 12.1.5;
    • 11.5.1 - 11.6.5.
  • Enterprise Manager, 3.1.1 bertsioa.
  • BIG-IQ Centralized Management, honako bertsioak: 
    • 6.0.0;
    • 5.2.0 - 5.4.0.
  • F5 iWorkflow 2.3.0 bertsioa.

Azalpena: 

F5 produktuek dituzten hainbat ahultasunen berri eman da. Horiek baliatuz erasotzaile batek proxy-a konfigura lezake trafikoa gelditzeko, zerbitzua ukatzeko edo root kontuaren fitxategietara sarbidea lortzeko.

Konponbidea: 

Honako bertsio hauetara eguneratzea:

  • BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, Edge Gateway, FPS, GTM, Link Controller, PEM, WebAccelerator), honako bertsio hauek: 
    • 15.0.1.1;
    • 14.1.2.1;
    • 14.0.1.1;
    • 13.1.3.2;
    • 12.1.5;
    • 11.6.5.1;
  • BIG-IQ Centralized Management, 6.1.00 bertsioa.

Xehetasuna: 

  • Autentifikazio token-era sarbidea izanez gero, erasotzailea BIG-IP ASM Central Policy Builder balitz bezala joka lezake eta iradokizun datu hondatuak edo okerrak bidal litzake BIG-IQ/Enterprise Manager/F5 iWorkflow-era. Horren ondorioz politikak prestatzeko iradokizun okerrak eman litezke, edo zerbitzuaren ukapen egoera (DoS) partziala eragin liteke. Ahultasun horretarako CVE-2019-6665 identifikatzailea erreserbatu da.
  • Traffic Management Microkernel-en (TMM) berrabiatze baten ondoren suspertzen denean aldi batez akatsa ematen du trafikoa prozesatzean, eta gailu multzo batean konfiguratutako gailuek ere akatsa eman dezakete. Ahultasun horretarako CVE-2019-6666 eta CVE-2019-6667 identifikatzaileak erreserbatu dira.
  • BIG-IP Edge Client-ek ahalbidetu lezake kaltetutako macOS gailuan pribilegiorik ez duen erasotzaile batek bezero lokalaren host-ean root kontukoak diren fitxategien jabetza eskuratzea. Ahultasun horretarako CVE-2019-6668 identifikatzailea erreserbatu da.

Etiketak: Eguneraketa, Ahultasuna