F5 BIG-IP và BIG-IQ cho phép nâng quyền qua lỗi tạo tài khoản quản trị trong TMUI

BIG-IP có một lỗ hổng trong đó người dùng đã xác thực ở bất kỳ vai trò nào cũng có thể tạo các tài khoản người dùng quản trị thông qua một request chưa được tiết lộ tới Traffic Management User Interface (TMUI).

Tác động: Lỗ hổng này có thể cho phép kẻ tấn công đã xác thực, có network access tới giao diện quản trị BIG-IP, nâng cao đặc quyền bằng cách tạo các tài khoản quản trị trên hệ thống BIG-IP. Không có phơi nhiễm ở data plane; đây chỉ là vấn đề ở control plane.

Lưu ý: Các phiên bản phần mềm đã đạt End of Technical Support (EoTS) không được đánh giá.

• F5 BIG-IP: các phiên bản thuộc nhánh 21.1.0 với điều kiện < 21.1.0.1; nhánh 21.0.0 với điều kiện < 21.0.0.3; nhánh 17.5.0 với điều kiện < 17.5.1.8; và nhánh 17.1.0 với điều kiện < 17.1.3.4 được đánh dấu affected. Trạng thái mặc định bên ngoài các điều kiện được liệt kê là unknown.
• F5 BIG-IQ: nhánh 8.4.0 với điều kiện < 8.4.2.1 được đánh dấu affected trong module TMOS. Trạng thái mặc định của sản phẩm này trong bản ghi là unaffected.
• Các phiên bản đã đạt End of Technical Support (EoTS) không được đánh giá. Không được suy ra trạng thái của các nhánh song song hoặc phiên bản mới hơn nếu bản ghi không liệt kê chúng.

F5 BIG-IP và F5 BIG-IQ được liệt kê là bị ảnh hưởng bởi một lỗi trong thành phần quản trị, được phân loại là CWE-918 Server-Side Request Forgery (SSRF). Tuy nhiên, request dễ bị khai thác, tham số do kẻ tấn công kiểm soát và luồng xử lý nội bộ cụ thể không được tiết lộ.

1. Người dùng đã xác thực, bất kể vai trò, truy cập TMUI qua mạng tới giao diện quản trị.
2. Người dùng gửi một request chưa được tiết lộ đến TMUI. Các thuộc tính tấn công được cung cấp cho biết không cần user interaction, yêu cầu quyền thấp và độ phức tạp thấp.
3. Lỗi có thể cho phép tạo tài khoản người dùng quản trị, dẫn đến privilege escalation.

Phạm vi được nêu là control plane בלבד; bản ghi không xác định phơi nhiễm trực tiếp ở data plane. Chi tiết triển khai cần thiết để tái hiện hoặc xác định chính xác điều kiện cấu hình vẫn chưa được công bố.

Lỗ hổng có thể bị truy cập qua mạng nhưng yêu cầu kẻ tấn công đã xác thực và có network access tới giao diện quản trị BIG-IP. Người dùng ở bất kỳ vai trò nào cũng có thể là điểm khởi đầu; không cần user interaction và độ phức tạp được đánh giá là thấp.

Bản ghi được cung cấp không xác định public exploit và không cung cấp trạng thái known exploited. Dữ liệu CISA ADP được trả về trong quá trình kiểm tra ghi nhận exploitation: none và automatable: no; điều này không chứng minh rằng sẽ không có khai thác chưa được công bố hoặc khai thác trong tương lai.

Khai thác thành công có thể biến một tài khoản đã xác thực với quyền thấp thành tài khoản quản trị bằng cách tạo thêm tài khoản quản trị trên hệ thống bị ảnh hưởng. Hậu quả kỹ thuật chủ yếu nằm ở control plane, có thể cho phép thay đổi các chức năng quản trị và ảnh hưởng đến tính bảo mật, toàn vẹn hoặc khả dụng của hệ thống.

Lỗ hổng yêu cầu authentication và network access tới giao diện quản trị, nên không phải là đường tấn công không cần tài khoản từ data plane. Mô tả nguồn không cung cấp chi tiết để xác định request cụ thể, dữ liệu được truy cập hoặc liệu một cấu hình đặc biệt có cần thiết hay không. Không có data-plane exposure được nêu trong bản ghi.

Nếu khai thác thành công, kẻ tấn công có thể tạo tài khoản quản trị trái phép và duy trì quyền truy cập ở control plane của hệ thống bị ảnh hưởng.

• Việc nâng quyền có thể cho phép thay đổi cấu hình, chính sách hoặc các thiết lập quản trị mà tài khoản ban đầu không được phép sửa.
• Quyền quản trị trái phép có thể ảnh hưởng đến tính bảo mật, toàn vẹn và khả dụng của các chức năng quản lý.
• Bản ghi không mô tả data-plane exposure, nên không nên diễn giải lỗ hổng này như một đường truy cập trực tiếp vào lưu lượng dữ liệu.

1. Nâng cấp F5 BIG-IP theo đúng nhánh bị ảnh hưởng lên các ranh giới đã được cung cấp: 21.1.0.1 cho nhánh 21.1.0, 21.0.0.3 cho nhánh 21.0.0, 17.5.1.8 cho nhánh 17.5.0, hoặc 17.1.3.4 cho nhánh 17.1.0.
2. Nâng cấp F5 BIG-IQ nhánh 8.4.0 lên 8.4.2.1.
3. Nếu chưa thể nâng cấp, hạn chế network access tới giao diện quản trị và TMUI chỉ từ các mạng quản trị được ủy quyền. Đây là biện pháp phòng ngừa dựa trên điều kiện truy cập của lỗ hổng, không phải workaround được vendor xác nhận.
4. Sau khi cập nhật, kiểm tra lại inventory phiên bản, rà soát các tài khoản quản trị hiện có và điều tra các thay đổi tài khoản hoặc quyền không mong muốn. Bản ghi không cung cấp workaround chính thức hoặc hướng dẫn phục hồi cho các phiên bản EoTS.

1. Kiểm kê các hệ thống F5 BIG-IP và BIG-IQ, xác định nhánh sản phẩm và đối chiếu với các ranh giới phiên bản trong mục affected_summary.
2. Xác định những deployment nào cho phép người dùng không phải quản trị viên truy cập mạng tới giao diện quản trị và TMUI. Đây là kiểm tra exposure, không phải bằng chứng rằng một hệ thống đã bị khai thác.
3. Kiểm tra inventory tài khoản quản trị trên control plane và tìm các tài khoản mới hoặc thay đổi quyền mà không có lý do được phê duyệt.
4. Rà soát audit record và telemetry của giao diện quản trị để tìm hoạt động tạo tài khoản hoặc thay đổi quyền bất thường, nếu các bản ghi này có sẵn.
5. Việc không thấy sự kiện đáng ngờ không chứng minh hệ thống an toàn. Bản ghi không cung cấp tên log event, endpoint hoặc IOC cụ thể cho request chưa được tiết lộ.