Especialistas em segurança expediram um alerta aos clientes da F5 para que corrijam uma vulnerabilidade crítica nos produtos de rede BIG-IP e BIG-IQ da fornecedora de soluções de segurança, após constatarem tentativas de exploração dessa falha. Referenciada como CVE-2021-22986 trata-se de um bug na interface de gerenciamento iControl baseada em REST dos produtos, que pode permitir o desvio de autenticação e execução remota de código.
A vulnerabilidade, que recebeu pontuação de 9,8 no CVSS (sistema de pontuação comum de vulnerabilidades), foi corrigida no dia 10 deste mês junto com vários outros bugs que poderiam ser encadeados em ataques. São eles: CVE-2021-22987, CVE-2021-22988, CVE-2021-22989 e CVE-2021-22990.
Embora não se tenha conhecimento de que tenha havido algum exploit público no momento do patching, uma semana depois, os pesquisadores começaram a postar a prova de conceito (PoC) do código de exploração após fazerem engenharia reversa de um patch F5.
O Grupo NCC avisou na sexta-feira, 19, que, como a API REST em questão é projetada para facilitar a administração remota, um invasor pode escolher entre vários endpoints em uma organização, quais almejar.
“A partir desta semana e especialmente nas últimas 24 horas [18 de março de 2021], observamos várias tentativas de exploração contra nossa infraestrutura de honeypot. Este conhecimento, combinado com a reprodução de toda a cadeia de exploit, avaliamos que um exploit público provavelmente estará disponível no domínio público em breve”, disse a empresa.
Veja isso
Hackers chineses exploram bugs no F5, Citrix, Pulse e Exchange
US Cyber Command aponta urgência em patch do F5 BIG-IP
O Grupo NCC disse acreditar que é do interesse de todos divulgar suas notas internas e lógica de detecção para evitar mais danos, uma vez que as explorações públicas se tornem disponíveis.”
A F5 atende a algumas das maiores organizações do mundo, incluindo gigantes de tecnologia e de serviços financeiros, portanto, tanto hackers ligados a governos quanto cibercriminosos com motivação financeira estarão ansiosos para explorar os terminais não corrigidos.
A Agência de Segurança Cibernética e de Infraestrutura (CISA) dos Estados Unidos já deu o alarme, pedindo aos clientes que consertem o problema imediatamente. No entanto, como já verificado em ataques recentes ao Exchange Server, muitas organizações estão encontrando dificuldade para corrigir ou mitigar os problemas rapidamente, mesmo se as atualizações oficiais estiverem disponíveis.
O cenário de ameaças para produtos conectados tornou-se complicado e multidimensional. E dispositivos de rede, como balanceadores de carga e gateways de acesso, são alvos preferenciais de operadores de ameaças, pois são usados para controlar o tráfego de entrada e saída de grandes redes corporativas, agências governamentais, data centers e em toda a infraestrutura de provedores de internet (ISPs).
