Foram descobertas duas vulnerabilidades de segurança no F5 Next Central Manager que poderiam ser exploradas por um ator malicioso para assumir o controle dos dispositivos e criar contas de administrador ocultas para persistência.
As falhas exploráveis remotamente “podem conceder aos invasores controle administrativo total do dispositivo e, posteriormente, permitir que criem contas em qualquer ativo F5 gerenciado pelo Next Central Manager”, afirmou a empresa de segurança Eclypsium em um novo relatório.
Uma descrição dos dois problemas é a seguinte:
– CVE-2024-21793 (pontuação CVSS: 7,5) – Uma vulnerabilidade de injeção OData que poderia permitir que um invasor não autenticado execute declarações SQL maliciosas por meio da API do BIG-IP NEXT Central Manager.
– CVE-2024-26026 (pontuação CVSS: 7,5) – Uma vulnerabilidade de injeção SQL que poderia permitir que um invasor não autenticado execute declarações SQL maliciosas por meio da API do BIG-IP Next Central Manager.
Ambas as falhas afetam as versões do Next Central Manager de 20.0.1 a 20.1.0. As falhas foram corrigidas na versão 20.2.0.
A exploração bem-sucedida dos bugs pode resultar no controle administrativo total do dispositivo, permitindo que os invasores o combinem com outras falhas para criar novas contas em qualquer ativo BIG-IP Next gerenciado pelo Central Manager.
Além disso, essas contas maliciosas permaneceriam ocultas do Central Manager em si. Isso é possível por meio de uma vulnerabilidade de solicitação de servidor do lado do servidor (SSRF) que torna possível invocar uma API não documentada e criar as contas.
“Isso significa que mesmo que a senha de administrador seja redefinida no Central Manager e o sistema seja corrigido, o acesso do invasor ainda pode persistir”, afirmou a empresa de segurança da cadeia de suprimentos.
Também descobertas pela Eclypsium, duas outras vulnerabilidades poderiam facilitar ataques de força bruta contra as senhas de administrador e permitir que um administrador redefina suas senhas sem conhecimento da anterior. Um invasor poderia utilizar esse problema para bloquear o acesso legítimo ao dispositivo de todas as contas.
Embora não haja indicações de que as vulnerabilidades tenham sido exploradas ativamente, é recomendável que os usuários atualizem suas instâncias para a versão mais recente para mitigar possíveis ameaças.
“Infraestruturas de rede e aplicativos tornaram-se um alvo chave para os invasores nos últimos anos”, disse a Eclypsium. “Explorar esses sistemas altamente privilegiados pode dar aos adversários uma maneira ideal de acessar, se espalhar e manter persistência dentro de um ambiente.”