F5

Das TLS-Protokoll sowie SSL 3.0 und frühere Versionen weisen eine Schwachstelle auf, die in verschiedenen Implementierungen wie nginx genutzt wird und Angreifern ermöglicht, Daten in eine Verbindung einzuschleusen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 87.3 %.

Im Linux-Kernel wurde eine Schwachstelle im cifs-Modul behoben: Bei verzögertem Schliessen (deferred close) konnten Closes mit Lease-Breaks kollidieren, sodass in cifs_oplock_break ein Absturz (Oops) auftreten konnte. Der Fix ändert die Reihenfolge der Prüfungen und prüft zuerst, ob die Liste offener Dateien leer ist. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: die den Fix enthaltende Kernel-Version einspielen.

In iControl REST besteht eine Schwachstelle, bei der ein hoch privilegierter, authentifizierter Angreifer mit mindestens der Manager-Rolle Konfigurationsobjekte erstellen kann, über die sich beliebige Befehle ausführen lassen. Softwareversionen, die das Ende des technischen Supports (EoTS) erreicht haben, wurden nicht bewertet. CVSS-Basiswert: 9.1 (Kritisch).

In der BIG-IP Configuration Utility besteht eine Directory-Traversal-Schwachstelle, die einem authentifizierten Angreifer die Ausführung von Befehlen auf dem BIG-IP-System ermöglichen kann. Bei einem im Appliance-Modus betriebenen System kann ein erfolgreicher Angriff eine Sicherheitsgrenze überwinden. Softwareversionen, die das Ende des technischen Supports (EoTS) erreicht haben, wurden nicht bewertet. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: die vom Hersteller bereitgestellten Updates einspielen.

TerraMaster NAS bis Version 4.2.30 erlaubt entfernten WAN-Angreifern, über die Parameter raidtype und diskstring der URI api.php?mobile/createRaid beliebigen Code als Root auszuführen (PHP Object Instantiation). Shell-Metazeichen können in raidtype eingeschleust werden, da popen ohne Bereinigung verwendet wird. Die Zugangsdaten aus der Ausnutzung von CVE-2022-24990 können dabei genutzt werden. CVSS-Basiswert: 9.8 (Kritisch).

In mehreren Versionen von F5 BIG-IP und Enterprise Manager können bei Verwendung nicht standardmässiger ConfigSync-Einstellungen sensible Informationen offengelegt und die Systemkonfiguration verändert werden. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: betroffene Systeme auf eine vom Hersteller als behoben ausgewiesene Version aktualisieren.

F5 BIG-IP ASM kann in mehreren Versionen der Zweige 11.5 bis 15.0 bei Verwendung von Nicht-Standard-Einstellungen sensible Informationen offenlegen und die Änderung der Systemkonfiguration zulassen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: betroffene Software gemäss F5-Advisory aktualisieren.

Offizielle Alpine-Linux-Docker-Images (seit v3.3) enthalten ein NULL-Passwort für den root-Benutzer, verursacht durch eine Regression aus dem Dezember 2015. Systeme, die auf Basis der betroffenen Images Linux PAM oder einen anderen Mechanismus nutzen, der die system-shadow-Datei zur Authentifizierung heranzieht, akzeptieren dadurch ein leeres Passwort für root. CVSS-Basiswert: 9.8 (Kritisch). Betroffen sind Alpine, Docker/containerd/Podman, SUSE/openSUSE und F5, sofern sie auf den betroffenen Basis-Images aufbauen.

Auf iSeries-Plattformen wurde in F5 BIG-IP das Attribut secureKeyCapable nicht gesetzt, wodurch der Secure Vault die F5-Hardwareunterstützung nicht nutzt und der Unit Key im Klartext auf der Festplatte abgelegt wird; zusätzlich landet der Unit Key so in UCS-Dateien. Betroffen sind die Versionen 14.0.0-14.1.0.1, 13.0.0-13.1.1.3 und 12.1.1 HF2-12.1.4. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Version gemäss F5-Advisory.

In mehreren Versionen von F5 BIG-IP ermöglichen die Apache-Module apache_auth_token_mod und mod_auth_f5_auth_token einen unauthentifizierten Bruteforce-Angriff auf den Autorisierungsparameter em_server_ip. Damit lässt sich ermitteln, welche SSL-Client-Zertifikate für die gegenseitige Authentifizierung zwischen BIG-IQ bzw. Enterprise Manager und verwalteten BIG-IP-Geräten verwendet werden. CVSS-Basiswert: 9.8 (Kritisch).

In mehreren F5 BIG-IP-Modulen protokolliert das Skript zur Synchronisierung der SafeNet-External-Network-HSM-Konfiguration zwischen Blades eines Clusters das HSM-Partitionspasswort im Klartext in die Logdatei /var/log/ltm. Dadurch können sensible Zugangsdaten für unbefugte Leser einsehbar werden. Betroffen sind bestimmte 11.5-, 11.6- sowie 12.0- bis 12.1-Versionen auf VIPRION-Plattformen. CVSS-Basiswert: 9.8 (Kritisch).

In F5 BIG-IP 12.0.0 bis 12.1.2 sowie 13.0.0 kann eine als Azure-Cloud-Instanz betriebene Installation unter bestimmten Umständen ein voreingestelltes administratives Passwort enthalten, mit dem sich ein Angreifer aus der Ferne am BIG-IP-System anmelden kann. Betroffen ist das bei der Bereitstellung angelegte administrative Azure-Instanzkonto; die Konten root und admin sind nicht betroffen. Ein Angreifer kann so unter Umständen per SSH auf den BIG-IP-Host zugreifen. CVSS-Basiswert: 9.8 (Kritisch).

Die F5 SSL Intercept iApp in den Versionen 1.5.0 bis 1.5.7 ist bei Einsatz des Explicit-Proxy-Features zusammen mit der SNAT-Auto-Map-Option für ausgehenden Verkehr anfällig für einen nicht authentifizierten Remote-Angriff. Angreifer können dadurch die BIG-IP-Systemkonfiguration verändern, sensible Systemdateien auslesen und unter Umständen Befehle aus der Ferne ausführen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: betroffene iApp gemäss F5-Advisory aktualisieren.

In mehreren Versionen von F5 BIG-IP LTM können entfernte Angreifer über Vektoren im Zusammenhang mit NAT64 Systemkonfigurationsdateien verändern oder auslesen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: betroffene Systeme auf eine vom Hersteller als behoben ausgewiesene Version aktualisieren.

In F5-BIG-IP-Systemen können virtuelle Server, die mit der HTTP-Explicit-Proxy-Funktion oder einem SOCKS-Profil konfiguriert sind, entfernten Angreifern erlauben, die Systemkonfiguration zu ändern, Systemdateien zu lesen und möglicherweise beliebigen Code auszuführen. CVSS-Basiswert: 9.8 (Kritisch).

Ist auf virtuellen Servern (und möglicherweise Self-IP-Adressen) die Paketfilterung aktiviert, können entfernte Angreifer über gezielt gestaltete Netzwerkpakete einen Neustart des Traffic Management Microkernel (TMM) und damit einen Denial of Service auslösen; laut Quelle sind weitergehende, nicht naeher bestimmte Auswirkungen möglich. Betroffen ist eine Vielzahl von F5-BIG-IP- und BIG-IQ-Produkten in aelteren Versionsstaenden. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf eine von F5 korrigierte Version (Hotfix) aktualisieren.

In F5 BIG-IP APM erlaubt ein Out-of-bounds-Speicherzugriff bei der Verarbeitung einer Citrix-Remote-Desktop-Verbindung über einen virtuellen Server mit Remote-Desktop-Profil entfernten Angreifern, einen Denial of Service auszulösen oder beliebigen Code auszuführen. Betroffen sind BIG-IP APM 11.4.1 vor 11.4.1 HF9, 11.5.x vor 11.5.3 sowie 11.6.0 vor 11.6.0 HF4. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Version gemäss F5-Advisory.

Die iControl-API in zahlreichen F5 BIG-IP- und BIG-IQ-Produkten erlaubt entfernten authentifizierten Benutzern mit der Rolle Resource Administrator eine Rechteausweitung. Dies geschieht über ein iCall-Skript oder einen iCall-Handler in einer SOAP-Anfrage an iControl/iControlPortal.cgi. CVSS-Basiswert: 9.0 (Kritisch).

Das datastor-Kernelmodul in mehreren F5-BIG-IP- und BIG-IQ-Produkten erlaubt entfernten authentifizierten Benutzern mit Berechtigung zum Hochladen und Ausführen von Code, einen Denial of Service auszulösen oder erhöhte Rechte zu erlangen. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Version gemäss F5-Advisory.

Der rsync-Daemon in F5 BIG-IP und Enterprise Manager verlangt im Failover-Modus keine Authentifizierung. Dadurch können entfernte Angreifer über eine cmi-Anfrage an die ConfigSync-IP-Adresse beliebige Dateien lesen oder schreiben. CVSS-Basiswert: 9.3 (Kritisch).

F5 BIG-IQ Cloud and Security 4.0.0 bis 4.1.0 erlaubt authentifizierten Angreifern aus der Ferne, das Passwort beliebiger Benutzer über den Parameter name in einer Anfrage an die Benutzerseite zu ändern. Damit lassen sich fremde Konten übernehmen. CVSS-Basiswert: 9.0 (Kritisch).

Ein signiertes Java-Applet in den clientseitigen Komponenten von F5 BIG-IP APM und FirePass enthält eine Directory-Traversal-Schwachstelle. Entfernte Angreifer können darüber beliebige Dateien hochladen und ausführen, indem sie im Parameter filename eine Verzeichnisrückwärts-Sequenz (..) verwenden. Betroffen sind BIG-IP APM 10.1.0 bis 11.3.0 sowie FirePass 6.0.0 bis 7.0.0, wenn APM bereitgestellt ist. CVSS-Basiswert: 9.3 (Kritisch).

Die Management-Oberfläche von F5 BIG-IP 9.4.3 erlaubt entfernten authentifizierten Benutzern mit Resource-Manager-Rechten das Einschleusen beliebigen Perl-Codes über nicht näher spezifizierte Konfigurationseinstellungen im Zusammenhang mit Perl EP3 und Templates. Dies löst vermutlich eine statische Code-Injektion aus. CVSS-Basiswert: 9.0 (Kritisch).

NGINX Plus und NGINX Open Source enthalten eine Schwachstelle im Modul ngx_http_rewrite_module. Sie tritt auf, wenn auf die rewrite-Direktive eine rewrite-, if- oder set-Direktive folgt. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 68.0 %. Laut einem manuell erfassten Hinweis (reddit:r/threatintel) wurde ein Exploit für diese Lücke auf einem offen zugänglichen Staging-Server in Singapur entdeckt – zusammen mit einem AdaptixC2-Server und nach Ländern und Sektoren geordneten Ziellisten über elf Länder, konzentriert auf Regierung, Universitäten, Gesundheitswesen und Finanzsektor.

NGINX JavaScript weist eine Schwachstelle auf, wenn die Direktive js_fetch_proxy mit mindestens einer clientgesteuerten NGINX-Variable (zum Beispiel $http_*, $arg_*, $cookie_*) konfiguriert ist und eine Location diese aufruft. CVSS-Basiswert: 8.1 (Hoch). Laut CVSS-Vektor ist die Lücke über das Netz mit hohem Angriffsaufwand, ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

Im Linux-Kernel wurde eine Schwachstelle in der Ceph-Komponente behoben: Bei der Behandlung negativer Dentries konnte d_add() auf einem bereits eingehängten (gehashten) Eintrag aufgerufen werden. Laut Quellbeschreibung sollen negative Dentries nur dann per d_add() hinzugefügt werden, wenn sie nicht mehr gehasht sind. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: die den Fix enthaltende Kernel-Version einspielen.

In F5-TTS bis einschliesslich Version 1.1.20 besteht eine Path-Traversal-Schwachstelle in den Finetune-Gradio-Handlern. Nicht authentifizierte Angreifer können über unzureichend geprüfte Benutzereingaben beliebige Dateien schreiben. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Ist auf einem virtuellen Server von F5 BIG-IP ein DNS-Profil mit aktiviertem DNS-Cache konfiguriert, kann nicht näher spezifizierter Datenverkehr die Traffic Management Microkernel (TMM) zum Beenden bringen. Software-Versionen, die das End of Technical Support erreicht haben, sind von der Bewertung ausgenommen. CVSS-Basiswert: 7.5 (Hoch).

Im Linux-Kernel wurde eine Schwachstelle im MPTCP-Subsystem behoben: Die Entfernung von Adressen wird nun stets unter dem msk-Socket-Lock behandelt. Syzkaller hatte im Pfad des Path-Managers einen lockdep-Splat gemeldet. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Betroffen sind die Kernel-Pakete von Amazon Linux (ALAS), Oracle Linux (ELSA), Rocky Linux und F5. Empfohlene Massnahme: die bereitgestellten Kernel-Updates der betroffenen Distributionen einspielen.

Im Linux-Kernel wurde eine Schwachstelle in f2fs behoben: Bei einem Checkpoint während der Vordergrund-Garbage-Collection im LFS-Modus konnte ein Systemabsturz auftreten, wenn der freie Speicherplatz nicht ausreichte. Der Fix prüft vor dem Checkpoint, ob genügend freie Sektionen vorhanden sind. CVSS-Basiswert: 7.8 (Hoch).

Im Linux-Kernel wurde eine Schwachstelle in apparmor behoben: Durch eine fehlende Terminierung kam es zu einem String-Überlauf (String-Overrun). Betroffen sind Systeme, die den anfälligen Kernel-Code verwenden; der Fehler wurde im Kernel-Baum korrigiert. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Im NGINX Ingress Controller besteht eine Injection-Schwachstelle im Konfigurationsgenerator, wenn dieser über Custom Resource Definitions (CRDs) oder Ingress-Annotationen konfiguriert wird. Ein Angreifer mit den nötigen Berechtigungen kann darüber manipulierte Konfiguration einschleusen. Der Zugriffsvektor ist netzwerkbasiert und erfordert nur niedrige Privilegien. CVSS-Basiswert: 8.3 (Hoch).

Ein authentifizierter iControl-REST-Benutzer mit niedrigen Rechten kann über einen nicht offengelegten iControl-REST-Endpunkt auf dem BIG-IQ-System beliebige Dateien anlegen oder verändern. Softwareversionen, die das Ende des technischen Supports (EoTS) erreicht haben, wurden nicht bewertet. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Verfügbares Sicherheitsupdate von F5 einspielen.

In BIG-IP- und BIG-IQ-Systemen von F5 besteht eine Schwachstelle, über die ein hoch privilegierter, authentifizierter Angreifer mit mindestens der Rolle Certificate Manager Konfigurationsobjekte verändern kann, die das Ausführen beliebiger Befehle erlauben. Softwareversionen, die das Ende des technischen Supports erreicht haben, wurden nicht bewertet. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Verfügbare Herstellerupdates von F5 einspielen.

In den skriptbasierten Monitoren von F5 BIG-IP kann ein authentifizierter Angreifer mit der Rolle Resource Administrator oder Administrator beliebige Systembefehle mit höheren Rechten ausführen. In Appliance-Mode-Deployments lässt sich damit eine Sicherheitsgrenze überschreiten. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Sicherheitsupdate des Herstellers einspielen.

Im Appliance-Modus besteht in einem nicht näher genannten iControl-REST-Endpunkt eine authentifizierte, entfernt ausnutzbare Command-Injection-Schwachstelle. Ein erfolgreicher Angriff erlaubt es, eine Sicherheitsgrenze zu überwinden. Softwareversionen, die das Ende des technischen Supports (EoTS) erreicht haben, wurden nicht bewertet. CVSS-Basiswert: 8.7 (Hoch).

Wenn BIG-IP DNS bereitgestellt ist, besteht in einem nicht offengelegten iControl-REST- und BIG-IP-TMOS-Shell-Befehl (tmsh) eine Schwachstelle, die es einem authentifizierten Angreifer mit der Rolle Resource Administrator oder Administrator erlaubt, beliebige Systembefehle mit höheren Rechten auszuführen. In Appliance-Mode-Bereitstellungen kann ein erfolgreicher Angriff eine Sicherheitsgrenze überwinden. CVSS-Basiswert: 8.7 (Hoch).