Plusieurs vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 ont \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9es dans les appareils F5 BIG-IP et BIG-IQ qui, si elles sont exploit\u00e9es avec succ\u00e8s, compromettent compl\u00e8tement les syst\u00e8mes concern\u00e9s.<\/p>\n
La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Rapid7 a d\u00e9clar\u00e9 que le d\u00e9fauts<\/a> pourraient \u00eatre abus\u00e9s pour acc\u00e9der \u00e0 distance aux appareils et contourner les contraintes de s\u00e9curit\u00e9. Les probl\u00e8mes affectent les versions 13.x, 14.x, 15.x, 16.x et 17.x de BIG-IP et les versions 7.x et 8.x de gestion centralis\u00e9e de BIG-IQ.<\/p>\n Les deux probl\u00e8mes de gravit\u00e9 \u00e9lev\u00e9e, qui ont \u00e9t\u00e9 signal\u00e9s \u00e0 F5 le 18 ao\u00fbt 2022, sont les suivants\u00a0:<\/p>\n “En exploitant avec succ\u00e8s la pire des vuln\u00e9rabilit\u00e9s (CVE-2022-41622), un attaquant pourrait obtenir un acc\u00e8s root persistant \u00e0 l’interface de gestion de l’appareil (m\u00eame si l’interface de gestion n’est pas accessible sur Internet)”, a d\u00e9clar\u00e9 le chercheur de Rapid7, Ron Bowes. a dit<\/a>.<\/p>\n Cependant, il convient de noter qu’un tel exploit n\u00e9cessite qu’un administrateur ayant une session active visite un site Web hostile.<\/p>\n Ont \u00e9galement \u00e9t\u00e9 identifi\u00e9s trois instances diff\u00e9rentes<\/a> de contournement de s\u00e9curit\u00e9, qui, selon F5, ne peut \u00eatre exploit\u00e9 sans d’abord briser les barri\u00e8res de s\u00e9curit\u00e9 existantes gr\u00e2ce \u00e0 un m\u00e9canisme auparavant non document\u00e9.<\/p>\n Si un tel sc\u00e9nario se pr\u00e9sentait, un adversaire avec Advanced Shell (frapper<\/a>) l’acc\u00e8s \u00e0 l’appliance pourrait exploiter ces faiblesses pour ex\u00e9cuter des commandes syst\u00e8me arbitraires, cr\u00e9er ou supprimer des fichiers ou d\u00e9sactiver des services.<\/p>\n Bien que F5 n’ait fait aucune mention des vuln\u00e9rabilit\u00e9s exploit\u00e9es dans les attaques, il est recommand\u00e9 aux utilisateurs d’appliquer les correctifs n\u00e9cessaires au fur et \u00e0 mesure qu’ils deviennent disponibles pour att\u00e9nuer les risques potentiels.<\/p>\n <\/p>\n<\/div>\n\n