Nuevas vulnerabilidades en productos de F5 

F5 ha publicado un nuevo aviso de seguridad sobre 5 vulnerabilidades, que afectan a varios de sus productos, que permitirían a un atacante la ejecución remota de código (RCE), escalamiento de privilegios, entre otros. 

Las vulnerabilidades reportadas se componen de 4 (cuatro) de severidad “Alta” y 1 (una) de severidad “Media”. Las principales se detallan a continuación: 

  • CVE-2022-24407 de severidad alta, con una puntuación asignada de 8.8. Esta se debe a una falla en el complemento SQL enviado con Cyrus SASL. La vulnerabilidad se produce debido a que no se puede escapar correctamente de la entrada SQL y conduce a una vulnerabilidad de validación de entrada incorrecta. Esto permitiría a un atacante realizar ejecución remota de código (RCE) y la capacidad de cambiar las contraseñas de otras cuentas permitiendo el escalamiento de privilegios. 
  • CVE-2021-25217 de severidad alta, con una puntuación asignada de 7.4. Esta se debe a un error en el Protocolo de configuración dinámica de host (DHCP), habiendo una diferencia entre el código que maneja la información de opciones encapsuladas y el código que lee y analiza la información. Esto permitiría a un atacante provocar deliberadamente una situación en la que dhcpd mientras se ejecuta en modo DHCPv4 o DHCPv6, o el dhclient intenta leer una concesión almacenada que contiene información de opciones, para desencadenar un desbordamiento de búfer. 

Para acceder a la lista completa de las vulnerabilidades subsanadas, acceder a este enlace

Las versiones de los productos afectados de F5 son: 

  • F5OS-C, 1.x anteriores a 1.3.2 
  • Traffix SDC, 5.x anteriores a 5.2.0 
  • BIG-IQ Centralized Management, 8.x anteriores a 8.2.0 y 7.x anteriores a 7.1.0 
  • BIG-IP (todos los módulos), 17.x 17.0.0, 16.x anteriores a 16.1.2, 15.x anteriores a 15.1.5, 14.x anteriores a 14.1.4 y 13.x anteriores a 13.1.5 

Para acceder a la lista completa de los productos afectados, acceder aquí 

Recomendamos descargar e instalar las últimas versiones provista por el fabricante en los siguientes enlaces: 

Referencias: 

Compartir: