Lỗi tràn bộ đệm heap trên F5 BIG-IP APM cho phép thực thi mã từ xa không xác thực

Khi BIG-IP APM access policy và OAuth profile được cấu hình trên một virtual server, lưu lượng độc hại cụ thể có thể dẫn đến thực thi mã từ xa (RCE). Lỗ hổng này chỉ tồn tại khi BIG-IP APM được cấu hình làm OAuth Authorization Server. Các triển khai sử dụng APM chỉ với vai trò OAuth Client / Resource Server (không cấu hình OAuth authorization server profile) không bị ảnh hưởng bởi lỗ hổng này. Tác động: Lỗ hổng này cho phép kẻ tấn công không xác thực thực hiện thực thi mã từ xa. Hệ thống BIG-IP ở Appliance mode cũng dễ bị tấn công. Đây là vấn đề thuộc data plane; không có phơi nhiễm control plane. Lưu ý: Các phiên bản phần mềm đã đạt End of Technical Support (EoTS) không được đánh giá.

• F5 BIG-IP APM: Chỉ các triển khai có APM access policy và OAuth profile trên virtual server, trong đó APM được cấu hình làm OAuth Authorization Server, thuộc điều kiện ảnh hưởng. Appliance mode cũng bị ảnh hưởng.
• Nhánh 21.1.0: affected khi nhỏ hơn Hotfix-BIGIP-21.1.0.2.0.30.22-ENG.
• Nhánh 17.5.0: affected khi nhỏ hơn Hotfix-BIGIP-17.5.1.9.0.160.12-ENG.
• Nhánh 17.1.0: affected khi nhỏ hơn Hotfix-BIGIP-17.1.3.5.0.41.14-ENG.
• Các triển khai chỉ dùng APM làm OAuth Client hoặc Resource Server, không có OAuth authorization server profile, được nêu là không bị ảnh hưởng. Trạng thái của các nhánh khác không được xác lập trong bản ghi; phần mềm đã hết End of Technical Support cũng không được đánh giá.

F5 BIG-IP APM là subsystem bị ảnh hưởng. Bản ghi phân loại lỗi là CWE-122, heap-based buffer overflow và cho biết lỗi xảy ra khi virtual server được cấu hình đồng thời với APM access policy và OAuth profile, trong đó APM hoạt động như một OAuth Authorization Server. Lưu lượng độc hại cụ thể có thể được gửi từ xa mà không cần xác thực hoặc tương tác của người dùng, dẫn đến thực thi mã từ xa trong data plane. Chế độ Appliance cũng bị ảnh hưởng, nhưng control plane không bị phơi nhiễm theo bản ghi. Hình dạng request, code path dễ lỗi và chi tiết chính xác của cơ chế hỏng bộ nhớ chưa được công bố trong bằng chứng hiện có.

• Khả năng tiếp cận: Từ xa qua mạng.
• Xác thực và tương tác: Kẻ tấn công không cần xác thực và không cần người dùng tương tác.
• Điều kiện: Virtual server phải có APM access policy và OAuth profile, đồng thời APM phải được cấu hình làm OAuth Authorization Server. Các triển khai chỉ dùng APM làm OAuth Client hoặc Resource Server, không có OAuth authorization server profile, không bị ảnh hưởng theo bản ghi.
• Trạng thái khai thác: Bản ghi đánh dấu lỗi đã bị khai thác và có public exploit.
• Giới hạn thông tin: Không có exploit cụ thể, threat actor, chiến dịch hoặc indicator of compromise nào được nêu trong bản ghi.

Lỗi cho phép kẻ tấn công từ xa, không xác thực, gửi lưu lượng độc hại cụ thể để đạt thực thi mã trên data plane của BIG-IP. Kết quả kỹ thuật có thể bao gồm mất bí mật, thay đổi tính toàn vẹn và gián đoạn tính sẵn sàng của hệ thống hoặc traffic đi qua virtual server bị ảnh hưởng. Appliance mode cũng nằm trong phạm vi ảnh hưởng, trong khi control plane không bị phơi nhiễm theo bản ghi. Phạm vi thực tế sau khi thực thi mã, khả năng truy cập dữ liệu cụ thể và tác động đến các hệ thống khác chưa được xác định từ bằng chứng hiện có.

• Truy cập và dữ liệu: Thực thi mã từ xa thành công có thể cho phép kẻ tấn công tác động đến tính bí mật của dữ liệu được xử lý qua BIG-IP và các virtual server bị ảnh hưởng.
• Toàn vẹn cấu hình và lưu lượng: Kẻ tấn công có thể có khả năng thay đổi hành vi xử lý traffic hoặc cấu hình liên quan trong phạm vi data plane, tùy theo quyền thực tế của tiến trình bị xâm phạm.
• Tính sẵn sàng: Việc khai thác có thể dẫn đến gián đoạn dịch vụ, xử lý traffic sai hoặc mất khả năng cung cấp dịch vụ của hệ thống bị ảnh hưởng.
• Phạm vi vận hành: Lỗi cũng ảnh hưởng đến Appliance mode, nhưng bản ghi nêu rõ không có control plane exposure.
• Bản ghi không xác định một vụ xâm nhập, nạn nhân hoặc chiến dịch ransomware cụ thể.

1. Ưu tiên cài hotfix tương ứng: Đưa từng nhánh bị ảnh hưởng lên boundary hotfix tương ứng được bản ghi hỗ trợ: Hotfix-BIGIP-21.1.0.2.0.30.22-ENG cho nhánh 21.1.0, Hotfix-BIGIP-17.5.1.9.0.160.12-ENG cho nhánh 17.5.0, và Hotfix-BIGIP-17.1.3.5.0.41.14-ENG cho nhánh 17.1.0.
2. Xác nhận sau khi cập nhật rằng hotfix đã được cài trên đúng thiết bị, virtual server và data plane, sau đó kiểm tra lại điều kiện cấu hình APM và OAuth.
3. Nếu chưa thể cập nhật ngay, ưu tiên các hệ thống có virtual server đáp ứng điều kiện ảnh hưởng và có khả năng nhận traffic từ mạng không tin cậy. Không nên tự suy diễn rằng việc chỉ dùng OAuth Client hoặc Resource Server đã đủ an toàn nếu OAuth authorization server profile vẫn còn được cấu hình.
4. Vì bản ghi đánh dấu lỗi đã bị khai thác và có public exploit, thực hiện review forensic phù hợp trên các hệ thống có điều kiện ảnh hưởng trước hoặc đồng thời với việc vá. Bản ghi không cung cấp đủ chi tiết để đề xuất một IOC hoặc lệnh kiểm tra cụ thể.
5. Các nhánh khác và phần mềm đã hết End of Technical Support không được xác nhận trong bản ghi; cần xác minh trực tiếp hướng dẫn hỗ trợ tương ứng trước khi kết luận trạng thái hoặc chọn đường nâng cấp.

1. Kiểm kê toàn bộ hệ thống F5 BIG-IP và xác định release, hotfix level cùng trạng thái hỗ trợ của từng hệ thống. Các phiên bản đã hết End of Technical Support không được đánh giá trong bản ghi, vì vậy không nên coi chúng là đã được xác nhận an toàn.
2. Rà soát cấu hình từng virtual server để tìm sự kết hợp giữa APM access policy và OAuth profile.
3. Xác định APM đang hoạt động như OAuth Authorization Server hay chỉ làm OAuth Client hoặc Resource Server. Việc không có OAuth authorization server profile là điều kiện loại trừ được nêu trong bản ghi.
4. Xác định các hệ thống ở Appliance mode và đánh giá khả năng truy cập từ Internet hoặc các mạng không tin cậy đối với data plane.
5. Kiểm tra trạng thái hotfix sau khi khắc phục. Có thể rà soát data-plane telemetry, request bất thường và dấu hiệu post-exploitation như một biện pháp thận trọng, nhưng bản ghi không cung cấp log field, mẫu request hoặc IOC cụ thể; việc không thấy dấu hiệu không chứng minh hệ thống an toàn.