Se han reportado nuevas vulnerabilidades en los productos de F5, tres de severidad alta y una de severidad media, lo que puede resultar en condiciones de denegación de servicio y divulgación de información confidencial.
Productos Afectados
BIG-IP (todos los módulos)
- Versiones 15.1.0 al 15.1.10, 16.1.0 al 16.1.4 y 17.1.0
SPK de BIG-IP
- Versión 1.7.0. al 1.8.2
CNF de BIG-IP
- Versión 1.1.0 al 1.1.1
Impacto
CVE-2024-39778: Con una puntuación en CVSSv4 de 8.7, de severidad alta. Esta vulnerabilidad podría causar la terminación del módulo de gestión de tráfico (TMM) al recibir solicitudes no divulgadas en servidores virtuales sin estado. Esta situación podría comprometer la disponibilidad del servicio.
CVE-2024-41727: Con una puntuación en CVSSv4 de 8.7, de severidad alta. Esta vulnerabilidad en los sistemas BIG-IP podrían causar un aumento en la utilización de recursos de memoria, afectando potencialmente el rendimiento de los servicios.
CVE-2024-41164: Con una puntuación en CVSSv4 de 8.2, de severidad alta. Esta vulnerabilidad consiste en la configuración de perfiles TCP con Multipath TCP (MPTCP) en servidores virtuales, lo que podría provocar la finalización inesperada del TMM, afectando la disponibilidad del servicio.
CVE-2024-41723: Con una puntuación en CVSSv4 de 5.3, de severidad media. Esta vulnerabilidad en BIG-IP iControl REST podría permitir la fuga de información relacionada con los nombres de cuentas de usuario. Esta situación podría comprometer la seguridad de las organizaciones que utilizan este software.
Recomendación
- Actualizar a las últimas versiones disponibles que resuelven las vulnerabilidades encontradas en los productos afectados, descargándolos únicamente desde el sitio web oficial.
Referencias
https://nvd.nist.gov/vuln/detail/CVE-2024-41723
https://www.f5.com/
https://nvd.nist.gov/vuln/detail/CVE-2024-39778
https://nvd.nist.gov/vuln/detail/CVE-2024-41164
https://nvd.nist.gov/vuln/detail/CVE-2024-41727