BIG-IP sistemindeki güvenlik açıkları tüm ağları riske atabilirdi

F5’in BIG-IP ürün ailesi için merkezi bir yönetim ve orkestrasyon platformu olan BIG-IP Next Central Manager (NCM), kötü niyetli aktörlerin yönetilen varlıklarını ele geçirmesine izin veren iki büyük kusura karşı savunmasızdı.

O zamandan beri yamalanmış olan hatalar, bir SQL enjeksiyon açığı ve bir OData enjeksiyon açığı olarak tanımlanmaktadır.

Bunlar CVE-2024-26026 ve CVE-2024-21793 olarak takip edilmekte ve NCM API’sinde bulunmaktadır. Tehdit aktörleri bu hataları kötüye kullanarak savunmasız uç noktalarda uzaktan kötü niyetli SQL ifadeleri çalıştırabilir.

Binlerce potansiyel kurban

Siber güvenlik firması Eclypsium kusurları bulup raporladı ve araştırmacılar ayrıca, bir saldırgan tarafından oluşturulan sahte bir yönetici hesabının Next Central Manager’da nasıl görünmez kaldığını ve savunmasız uç noktada kalıcılık sağladığını gösteren bir kavram kanıtı istismarı yayınladı.

“Central Manager’ın yönetim konsolu, CVE 2024-21793 veya CVE 2024-26026 aracılığıyla yönetim kullanıcı arayüzüne erişebilen herhangi bir saldırgan tarafından uzaktan istismar edilebilir. Bu, yöneticinin kendisinin tam idari kontrolüne yol açacaktır,” diye açıkladı araştırmacılar. “Saldırganlar daha sonra Central Manager tarafından yönetilen herhangi bir BIG-IP Next varlığında yeni hesaplar oluşturmak için diğer güvenlik açıklarından yararlanabilir. Özellikle, bu yeni kötü niyetli hesaplar Central Manager’ın kendisinden görünmeyecektir.”

F5’in NCM’si, BT ekiplerinin uygulama dağıtım denetleyicileri (ADC’ler), güvenlik duvarı çözümleri ve diğer ağ cihazları gibi cihazları yönetmesine olanak tanır. Dağıtılmış ortamlarda yapılandırma yönetimi, politika uygulama, izleme ve raporlama için yetenekler sağlar. Shodan’ın rakamlarına göre, açık yönetim portlarına sahip 10.000’den fazla F5 BIG-IP cihazı var.

F5, yamayı şu anda yükleyemeyen yöneticiler için bir geçici çözüm de paylaştı. Şirketin talimatlarına göre, Next Central Manager erişimini güvenli bir ağ üzerinden güvenilir kullanıcılarla kısıtlamak sorunu çözüyor