AVIS CERTFR - 2020 - ALE - 015

ALERTE CERT
CERT-FR

Publié le 6 juillet 2020 à 08h27 - Mis à jour le 31 janvier 2025 à 11h24

Objet

Vulnérabilité dans F5 BIG-IP

Référence

CERTFR-2020-ALE-015

Risque(s)

Exécution de code arbitraire à distance

Systèmes affectés

  • BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, FPS, GTM, Link Controller, PEM) versions 15.x antérieures à 15.1.0.4
  • BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, FPS, GTM, Link Controller, PEM) versions 14.1.x antérieures à 14.1.2.6
  • BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, FPS, GTM, Link Controller, PEM) versions 13.1.x antérieures à 13.1.3.4
  • BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, FPS, GTM, Link Controller, PEM) versions 12.1.x antérieures à 12.1.5.2
  • BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, FPS, GTM, Link Controller, PEM) versions 11.5.x et 11.6.x antérieures à 11.6.5.2

Résumé

Le Ier juillet 2020, F5 Networks a publié un avis de sécurité [1] concernant la vulnérabilité CVE-2020-5902. Cette vulnérabilité permet à un attaquant non authentifié (ou un utilisateur authentifié) ayant un accès réseau à l'interface d'administration tmui, d'exécuter un code arbitraire à distance. Cette vulnérabilité a un score CVSS de 10. Cette interface est accessible depuis le port d'administration ainsi que via les adresses IP "Self IP" éventuellement configurées sur l'équipement BIG-IP.

Note importante : Des campagnes de détection sont rapportées publiquement et des preuves de concept ont été publiées depuis le 04 juillet. Ces preuves de concept permettent notamment d'accéder à des fichiers de configuration.

Le CERT-FR considère qu'il est impératif d'appliquer sans délai les règles de configuration afin d'interdire l'accès à l'interface d'administration depuis un réseau non sécurisé ainsi que d'appliquer les correctifs publiés par l'éditeur.

Contournement provisoire

Dans la mesure où les solutions peuvent nécessiter des modifications importantes, l'éditeur préconise un contournement permettant de se prémunir contre un accès non autorisé par un attaquant non authentifié. L'éditeur indique que ce contournement ne devrait pas avoir de conséquence sur le fonctionnement de l'équipement. Il s'agit d'éditer les propriétés du serveur web et ajouter une nouvelle règle dans la section 'include' afin d'interdire des requêtes HTTP utilisant une syntaxe particulière pour l'URL. Ces recommandations sont indiquées dans l'avis de l'éditeur : https://support.f5.com/csp/article/K52145254#all 

L'éditeur précise que ce contournement n'empêche pas un utilisateur authentifié d'exploiter la vulnérabilité.

Solution

Il est impératif d'appliquer les correctifs de sécurité publiés par l'éditeur. Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs [1] (cf. section Documentation).

En cas de suspicion d'accès non autorisé à l'interface d'administration tmui, si cette interface était accessible depuis un réseau non sûr, le CERT-FR recommande fortement de :

- renouveler les mots de passe des comptes techniques et des comptes utilisateurs déclarés sur les équipements BIG-IP ;
- révoquer et renouveler les certificats x509 déclarés sur les équipements BIG-IP ainsi que sur les éventuels autres équipements utilisant ces mêmes certificats x509 s'il s'agit de certificats multi-domaines (wildcard).

Le CERT-FR rappelle également que l'éditeur a publié des bonnes pratiques afin de sécuriser l'administration de ses équipements [2]. Il convient notamment de :

  • connecter le port d'administration sur un réseau d'administration sécurisé ;
  • interdire l'accès à l'interface d'administration tmui via les adresses IP "Self IP" ;

La mise à jour d'un produit ou d'un logiciel est une opération délicate qui doit être menée avec prudence. Il est notamment recommander d'effectuer des tests autant que possible. Des dispositions doivent également être prises pour garantir la continuité de service en cas de difficultés lors de l'application des mises à jour comme des correctifs ou des changements de version.

Documentation

Dernière version du document

https://www.cert.ssi.gouv.fr/alerte/CERTFR-2020-ALE-015/