Транснациональная компания F5, специализирующаяся на услугах, связанных с интернет-сайтами и приложениями, предупредила своих клиентов о критической уязвимости в фирменном продукте BIG-IP, которая позволяет осуществлять удалённое выполнение кода без аутентификации.
Данная уязвимость, обнаруженная в компоненте утилиты конфигурации, получила идентификатор CVE-2023-46747 и была оценена по шкале CVSS в 9,8 из 10 возможных баллов.
Обнаружение уязвимости приписывают исследователям Майклу Веберу и Томасу Хендриксону из компании Praetorian, которые также выпустили свой подробный технический отчёт с нюансами работы CVE-2023-46747.
F5 уточнила: “Эта уязвимость может позволить неавторизованному злоумышленнику, имеющему сетевой доступ к системе BIG-IP через порт управления и / или собственные IP-адреса, выполнять произвольные системные команды”. Проблема связана только с управляющим интерфейсом продукта.
Компанией были определены следующие уязвимые версии BIG-IP:
- 17.1.0 (Исправлено в 17.1.0.3 + Hotfix-BIGIP-17.1.0.3.0.75.4-ENG);
- 16.1.0 – 16.1.4 (Исправлено в 16.1.4.1 + Hotfix-BIGIP-16.1.4.1.0.50.5-ENG);
- 15.1.0 – 15.1.10 (Исправлено в 15.1.10.2 + Hotfix-BIGIP-15.1.10.2.0.44.2-ENG);
- 14.1.0 – 14.1.5 (Исправлено в 14.1.5.6 + Hotfix-BIGIP-14.1.5.6.0.10.6-ENG);
- 13.1.0 – 13.1.5 (Исправлено в 13.1.5.1 + Hotfix-BIGIP-13.1.5.1.0.20.2-ENG);
В качестве временного решения в F5 предложили использовать специальный скрипт , который можно применить, начиная с версии 14.1.0. Представители компании сделали акцент, что на версиях BIG-IP ниже 14.1.0 данный скрипт использовать не следует, чтобы не заполучить ещё больших проблем с экземплярами BIG-IP. Сам скрипт и инструкция по его использованию доступны на странице с рекомендациямикомпании.
Дополнительные рекомендации для пользователей включают следующие советы:
- заблокировать доступ к утилите конфигурации через собственные IP-адреса ;
- заблокировать доступ к утилите конфигурации через интерфейс управления .
Стоит отметить, что CVE-2023-46747 является уже третьей по счёту уязвимостью, позволяющей удалённое выполнение кода без аутентификации, обнаруженной в пользовательском интерфейсе BIG-IP TMUI после CVE-2020-5902 и CVE-2022-1388 .