Lưu lượng SIP profile qua mạng có thể làm TMM dừng trong F5 BIG-IP

Khi một SIP profile được cấu hình trên một virtual server, lưu lượng chưa được tiết lộ có thể khiến Traffic Management Microkernel (TMM) chấm dứt hoạt động. Lưu ý: Các phiên bản phần mềm đã đạt End of Technical Support (EoTS) không được đánh giá.

F5 BIG-IP, áp dụng cho All Modules khi có SIP profile trên virtual server, được ghi nhận bị ảnh hưởng trong các nhánh sau:

• 21.0.0 đến trước 21.0.0.2.
• 17.5.0 đến trước 17.5.1.6.
• 17.1.0 đến trước 17.1.3.2.
• Nhánh 16.1.0 với cận trên là * trong dữ liệu ảnh hưởng được cung cấp, nghĩa là không có cận trên an toàn hoặc bản sửa lỗi cụ thể nào được nêu cho nhánh này.

NVD liệt kê 21.1.0 là không bị ảnh hưởng. Không nên dùng thông tin đó để suy luận trạng thái của các nhánh song song hoặc phiên bản khác chưa được xác minh. Các phiên bản đã đạt End of Technical Support (EoTS) không nằm trong phạm vi đánh giá của F5.

Lỗi xảy ra khi một SIP profile được cấu hình trên virtual server và thiết bị nhận lưu lượng chưa được tiết lộ. Lưu lượng này có thể khiến Traffic Management Microkernel (TMM) chấm dứt hoạt động. Bản ghi phân loại vấn đề là CWE-770, tức cấp phát tài nguyên không có giới hạn hoặc cơ chế throttling, nhưng không công bố chi tiết về đường xử lý tài nguyên hoặc điều kiện cụ thể trong lưu lượng SIP gây lỗi. Theo thông tin về khả năng khai thác, vấn đề có thể được tiếp cận qua mạng, không yêu cầu quyền xác thực hoặc tương tác của người dùng và có độ phức tạp thấp. Payload, định dạng thông điệp SIP và đường đi chính xác trong mã TMM không được công bố.

• Khả năng tiếp cận: Qua mạng; bản ghi cho biết không cần quyền xác thực và không cần tương tác của người dùng.
• Điều kiện: BIG-IP phải có SIP profile được cấu hình trên một virtual server.
• Trạng thái khai thác: Bản ghi đánh dấu không có public exploit; trạng thái known_exploited không được xác lập. Bản ghi GCVE được trả về trong quá trình nghiên cứu có phần bổ sung CISA ADP ghi nhận Exploitation: none, nhưng đây là trạng thái tại thời điểm ghi nhận và không chứng minh rằng lỗi không thể bị khai thác.
• Không có payload khai thác, mẫu lưu lượng hoặc chỉ dấu xâm nhập cụ thể nào được công bố.

Lưu lượng mạng được tạo ra trong điều kiện hệ thống có SIP profile trên virtual server có thể làm TMM chấm dứt, dẫn đến mất khả năng xử lý lưu lượng và denial of service. Bản ghi mô tả đường tấn công không cần quyền xác thực và không cần tương tác của người dùng, nhưng không cho thấy việc vượt quyền, ảnh hưởng sang hệ thống khác hoặc tác động đến tính bí mật và tính toàn vẹn. Việc HA hoặc failover có thể giới hạn thời gian gián đoạn hay không phụ thuộc vào kiến trúc triển khai và chưa được xác lập. Chi tiết về loại lưu lượng cụ thể có thể kích hoạt lỗi cũng chưa được công bố.

• Lưu lượng từ xa không cần xác thực có thể khiến TMM dừng, dẫn đến gián đoạn xử lý lưu lượng và mất tính sẵn sàng của dịch vụ liên quan trên hệ thống BIG-IP.
• Tác động chính là denial of service; bản ghi không cho thấy việc đọc dữ liệu, sửa dữ liệu hoặc chiếm quyền truy cập.
• Mức độ gián đoạn thực tế phụ thuộc vào cấu hình triển khai, HA và cơ chế khôi phục của từng hệ thống; các chi tiết này không được xác lập trong bằng chứng hiện có.
• Các hệ thống công khai dịch vụ SIP qua virtual server nên được ưu tiên kiểm kê và cập nhật.

1. Nâng cấp từng nhánh bị ảnh hưởng lên bản phát hành biên được xác định là đã khắc phục: 21.0.0.2 cho nhánh 21.0.0, 17.5.1.6 cho nhánh 17.5.0 và 17.1.3.2 cho nhánh 17.1.0.
2. Với nhánh 16.1.0, dữ liệu hiện có không nêu bản phát hành sửa lỗi. Hãy coi nhánh này là chưa được giải quyết và xác nhận lộ trình nâng cấp được F5 hỗ trợ; không tự giả định rằng một bản phát hành 16.1.x khác đã an toàn.
3. Sau khi cập nhật, xác minh lại phiên bản thực tế trên từng thiết bị và rà soát các virtual server có SIP profile.
4. Xác nhận trạng thái EoTS trước khi lập kế hoạch xử lý, vì các phiên bản hết hỗ trợ không được F5 đánh giá.
5. Bản ghi không cung cấp biện pháp giảm thiểu riêng ngoài việc cập nhật. Không nên tự tạo quy tắc lọc hoặc thay đổi cấu hình SIP như một biện pháp đã được xác nhận nếu chưa có hướng dẫn phù hợp từ F5.

1. Kiểm kê tất cả hệ thống F5 BIG-IP và xác định chính xác nhánh phiên bản đang chạy, bao gồm các hệ thống có nhiều module.
2. Rà soát cấu hình để tìm các virtual server có gắn SIP profile; đây là điều kiện phơi nhiễm được công bố.
3. Đối chiếu từng phiên bản với các ranh giới bị ảnh hưởng: 21.0.0 trước 21.0.0.2, 17.5.0 trước 17.5.1.6, 17.1.0 trước 17.1.3.2 và nhánh 16.1.0 chưa có cận trên an toàn được cung cấp.
4. Kiểm tra trạng thái hỗ trợ của phiên bản, vì F5 không đánh giá các phiên bản đã đạt End of Technical Support (EoTS).
5. Rà soát hệ thống monitoring hiện có để phát hiện các sự kiện TMM chấm dứt hoặc khởi động lại gần thời điểm nhận lưu lượng SIP. Đây là biện pháp theo dõi phòng ngừa, không phải IOC đã được xác nhận; việc không thấy cảnh báo không chứng minh hệ thống an toàn.