CVE-2022-1388
Sobre
No F5 BIG-IP, nas versões 16.1.x anteriores à 16.1.2.2, 15.1.x anteriores à 15.1.5.1, 14.1.x anteriores à 14.1.4.6, 13.1.x anteriores à 13.1.5, e em todas as versões 12.1.x e 11.6.x, requisições não divulgadas podem contornar a autenticação do iControl REST. Observação: Versões de software que atingiram o Fim do Suporte Técnico (EoTS) não são avaliadas.
Análise do analista Rainforest
A API de gerenciamento iControl REST do F5 BIG-IP pode ser alcançada sem credenciais válidas por causa de uma falha na forma como as requisições são autenticadas: ao manipular cabeçalhos de conexão e o tratamento do `X-F5-Auth-Token`, um atacante convence o sistema de que uma requisição chegou por um canal local confiável. Esse contorno concede acesso a endpoints REST autenticados, vários dos quais executam comandos de sistema, de modo que um atacante não autenticado com acesso de rede à interface de gerenciamento obtém execução de comandos como root no appliance.
O BIG-IP fica diretamente no caminho do tráfego como balanceador de carga, firewall de aplicação e gateway de VPN/acesso, terminando o TLS e guardando as chaves e o material de sessão das aplicações por trás dele. Uma execução remota de código como root sem autenticação ali é um comprometimento total do ponto de imposição que protege tudo que está abaixo, e é por isso que a varredura e a exploração em massa começaram poucos dias após a divulgação. As mitigações imediatas publicadas pela F5 — restringir o iControl REST a endereços confiáveis e remover a exposição da interface de gerenciamento — importam tanto quanto o patch, porque o plano de gerenciamento nunca deveria estar acessível pela internet. Dado com que rapidez isso foi transformado em arma, procure sinais de exploração anterior em vez de presumir que só o patch fechou a janela.
Referências
- http://packetstormsecurity.com/files/167007/F5-BIG-IP-Remote-Code-Execution.html
- http://packetstormsecurity.com/files/167118/F5-BIG-IP-16.0.x-Remote-Code-Execution.html
- http://packetstormsecurity.com/files/167150/F5-BIG-IP-iControl-Remote-Code-Execution.html
- https://support.f5.com/csp/article/K23605346
- https://www.secpod.com/blog/critical-f5-big-ip-remote-code-execution-vulnerability-patch-now/
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-1388
CVEs Relacionadas
Perguntas frequentes
O que é CVE-2022-1388?
No F5 BIG-IP, nas versões 16.1.x anteriores à 16.1.2.2, 15.1.x anteriores à 15.1.5.1, 14.1.x anteriores à 14.1.4.6, 13.1.x anteriores à 13.1.5, e em todas as versões 12.1.x e 11.6.x, requisições não divulgadas podem contornar a autenticação do iControl REST. Observação: Versões de software que atingiram o Fim do Suporte Técnico (EoTS) não são avaliadas.
Qual a gravidade de CVE-2022-1388?
CVE-2022-1388 tem pontuação base CVSS 3.1 de 9.8, classificada como critical. No Rainforest Risk Index — que pondera a gravidade junto com a facilidade de alcançar a falha e a amplitude do impacto — a nota é 99 de 100, na faixa crítico.
Como CVE-2022-1388 é explorada?
Segundo o vetor CVSS (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H): vetor de ataque Rede, complexidade de ataque Baixa, privilégios necessários Nenhum, interação do usuário Nenhuma. Impacto em confidencialidade Alto, integridade Alto e disponibilidade Alto.
Quais produtos são afetados por CVE-2022-1388?
Os avisos públicos listam como afetados: big-ip access policy manager, big-ip advanced firewall manager, big-ip analytics, big-ip application acceleration manager, big-ip application security manager, big-ip domain name system, +5. Consulte as referências desta página para as versões exatas confirmadas por cada fornecedor.
Como corrigir CVE-2022-1388?
Aplique a correção publicada pelo fornecedor — as referências desta página levam aos avisos e patches originais. Quando não for possível corrigir de imediato, reduza a exposição do componente afetado e monitore tentativas de exploração. Clientes Rainforest recebem esta vulnerabilidade correlacionada aos próprios ativos e priorizada pela exposição real, não apenas pela nota.
Potencialize sua estratégia de segurança com a Rainforest
Descubra vulnerabilidades cedo, priorize ameaças críticas e proteja o que realmente importa. A Rainforest simplifica suas operações de segurança, economizando tempo e reduzindo custos, para você focar no que move o seu negócio.