Foram descobertas duas vulnerabilidades de segurança no F5 Next Central Manager que podem ser exploradas por um ator malicioso para assumir o controle dos dispositivos e criar contas de administrador ocultas para persistência.
As falhas “podem dar aos atacantes controle administrativo total do dispositivo e, subsequentemente, permitir que criem contas em qualquer ativo F5 gerenciado pelo Next Central Manager”, afirmou a empresa de segurança Eclypsium em um novo relatório.
Uma descrição dos dois problemas é a seguinte:
– CVE-2024-21793 (pontuação CVSS: 7.5) – Uma vulnerabilidade de injeção OData que poderia permitir a um atacante não autenticado executar declarações SQL maliciosas por meio da API do BIG-IP NEXT Central Manager.
– CVE-2024-26026 (pontuação CVSS: 7.5) – Uma vulnerabilidade de injeção SQL que poderia permitir a um atacante não autenticado executar declarações SQL maliciosas por meio da API do BIG-IP Next Central Manager.
Ambas as falhas afetam as versões do Next Central Manager de 20.0.1 a 20.1.0. As deficiências foram corrigidas na versão 20.2.0.
A exploração bem-sucedida dos bugs pode resultar no controle administrativo completo do dispositivo, permitindo que os atacantes combinem com outras falhas para criar novas contas em qualquer ativo BIG-IP Next gerenciado pelo Central Manager.
Além disso, essas contas maliciosas permaneceriam ocultas do próprio Central Manager. Isso é possível por meio de uma vulnerabilidade de solicitação de servidor do lado do servidor (SSRF) que torna possível invocar uma API não documentada e criar as contas.
Isso significa que mesmo que a senha de administrador seja redefinida no Central Manager e o sistema seja corrigido, o acesso do atacante ainda pode permanecer.
Também descobertas pela Eclypsium são mais duas vulnerabilidades que poderiam permitir ataques de força bruta contra as senhas de administrador e permitir que um administrador redefina suas senhas sem conhecimento da anterior. Um atacante poderia usar essa questão para bloquear o acesso legítimo ao dispositivo de todas as contas.
Embora não haja indicações de que as vulnerabilidades tenham sido exploradas ativamente, é recomendável que os usuários atualizem suas instâncias para a versão mais recente para mitigar possíveis ameaças.
“A infraestrutura de rede e aplicativos se tornou um alvo chave dos atacantes nos últimos anos”, disse a Eclypsium. “Explorar esses sistemas altamente privilegiados pode fornecer aos adversários um meio ideal para obter acesso, se espalhar e manter persistência dentro de um ambiente.”
