BSI випустив попередження системи безпеки про вразливість у продуктах F5 BIG-IP. Уразливість класифікується BSI як ІТ-рівень загрози 2, тобто жовтий. Значення CVSS, правда, з 9,8 - критичне. Адміністратори повинні перевірити системи та вжити заходів.
4 травня 2022 року F5 випустив пораду щодо безпеки щодо вразливості, яка може дозволити зловмисникам виконувати команди, відключати служби, створювати/видаляти файли та зрештою контролювати пристрої отримання рішень сімейства BIG-IP. Основною причиною цього є вразливість в автентифікації інтерфейсу iControl REST (CVE-2022-1388). Уразливість класифікується як «критична» зі значенням 9.8 відповідно до загальної системи оцінки вразливостей (CVSS) (CVSSv3).
Уразливість у сімействі продуктів BIG-IP
Це стосується компонентів із такими версіями BIG-IP:
- 16.1.0 - 16.1.2
- 15.1.0 - 15.1.5
- 14.1.0 - 14.1.4
- 13.1.0 - 13.1.4
- 12.1.0 – 12.1.6 (кінець регулярної підтримки вже досягнуто.)
- 11.6.1 – 11.6.5 (кінець регулярної підтримки вже досягнуто.)
За даними BSI: після того, як виробник оголосив факти, на ІТ-порталах і в соціальних мережах почастішали повідомлення про те, що використання вразливості вважається особливо легким. Серед іншого, дослідники безпеки з компанії Horizon3.ai оголосили 7 травня 2022 року, що вони опублікують код підтвердження концепції (код PoC) для вразливості на поточному календарному тижні (тиждень 19). Подальші повідомлення про описані факти свідчать про те, що PoCs також будуть опубліковані іншими джерелами найближчим часом або вже знаходяться в обігу.
Більше на BSI.Bund.de
Про Федеральне відомство з інформаційної безпеки (BSI) Федеральне відомство з інформаційної безпеки (BSI) є федеральним органом з кібербезпеки та розробником безпечної цифровізації в Німеччині. Заява місії: BSI, як федеральний орган кібербезпеки, розробляє інформаційну безпеку в оцифровці шляхом запобігання, виявлення та реагування для держави, бізнесу та суспільства.