-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA512 ##################################################### ## N C S C ~ B E V E I L I G I N G S A D V I E S ## ##################################################### Titel : Kwetsbaarheden verholpen in BIG-IP Advisory ID : NCSC-2020-0525 Versie : 1.00 Kans : medium CVE ID : CVE-2020-5902, CVE-2020-5903, CVE-2020-5904, CVE-2020-5905, CVE-2020-5906, CVE-2020-5907, CVE-2020-5908 (Details over de kwetsbaarheden kunt u vinden op de Mitre website: http://cve.mitre.org/cve/) Schade : high Cross-Site Request Forgery (XSRF) Cross-Site Scripting (XSS) Manipulatie van gegevens (Remote) code execution (Gebruikersrechten) Toegang tot gevoelige gegevens Toegang tot systeemgegevens Uitgiftedatum : 20200701 Toepassing : F5 BIG-IP Versie(s) : Platform(s) : Beschrijving F5 Networks heeft meerdere kwetsbaarheden verholpen in diverse onderdelen van BIG-IP. De kwetsbaarheden stellen een kwaadwillende in staat aanvallen uit te voeren die leiden tot de volgende categorieën schade: * Cross-Site Request Forgery (XSRF) * Cross-Site Scripting (XSS) * Manipulatie van gegevens * (Remote) code execution (Administrator/Root rechten) * Toegang tot gevoelige gegevens * Toegang tot systeemgegevens De kwetsbaarheid met kenmerk CVE-2020-5904 heeft een CVSS-score van 8.8 en betreft een XSRF. Misbruik van deze kwetsbaarheid stelt een kwaadwillende in staat Traffic Management Operating System Shell-commando's uit te voeren via de sessie van een ingelogde administrator. Deze kwetsbaarheid kan mogelijk in combinatie met de kwetsbaarheid met kenmerk CVE-2020-5907 worden misbruikt voor het verkrijgen van verhoogde rechten op het kwetsbare systeem. De kwetsbaarheid met kenmerk CVE-2020-5902 heeft een CVSS-score van 10.0. Deze kwetsbaarheid stelt een ongeauthenticeerde kwaadwillende met netwerktoegang tot de Traffic Management User Interface in staat systeemcommando's uit te voeren, bestanden te manipuleren, services uit te schakelen en willekeurige Java-code uit te voeren. Volgens de advisory van F5 Networks maakt de kwetsbaarheid het mogelijk het systeem volledig over te nemen. Mogelijke oplossingen F5 Networks heeft updates uitgebracht om de kwetsbaarheden te verhelpen. Voor meer informatie, zie: CVE-2020-5902: https://support.f5.com/csp/article/K52145254 CVE-2020-5903: https://support.f5.com/csp/article/K43638305 CVE-2020-5904: https://support.f5.com/csp/article/K31301245 CVE-2020-5905: https://support.f5.com/csp/article/K07051153 CVE-2020-5906: https://support.f5.com/csp/article/K82518062 CVE-2020-5907: https://support.f5.com/csp/article/K00091341 CVE-2020-5908: https://support.f5.com/csp/article/K33023560 Vrijwaringsverklaring Door gebruik van deze security advisory gaat u akkoord met de navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke zorg heeft betracht bij de samenstelling van dit beveiligingsadvies, kan het NCSC niet instaan voor de volledigheid, juistheid of (voortdurende) actualiteit van dit beveiligingsadvies. De informatie in dit beveiligingsadvies is uitsluitend bedoeld als algemene informatie voor professionele partijen. Aan de informatie in dit beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC en de Staat zijn niet aansprakelijk voor enige schade ten gevolge van het gebruik of de onmogelijkheid van het gebruik van dit beveiligingsadvies, waaronder begrepen schade ten gevolge van de onjuistheid of onvolledigheid van de informatie in dit beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht van toepassing. Alle geschillen in verband met en/of voortvloeiend uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de voorzieningenrechter in kort geding. -----BEGIN PGP SIGNATURE----- Version: Encryption Desktop 10.4.2 (Build 502) Charset: utf-8 wsDVAwUBXvyH0U/4qUtG/lqjAQoP/Qv+OPi6TtO+sraP4wGXQX1qQ0r3qTI01uN4 EUF5Vfmpczj12RsWcP32et+7gbsLrNJphzlpkdN/dkkAIJ//vwhzwpeLbUsPoN9G HUH8snYOw6wKxfpl7KhB+OxQx2qhLcJuUwZk8DuF36XgsUH8go+mQNLK+mXdQzIY Pgu/o5GyyHOA+VrO9g9EUqCBRnrxFiQw7O2RDyqYM5goUM/5Ogfnuu7x9CN3GLCo OBH7qY3mf+SMYW+q0IwV+NG3D+FDeTS7IaA5sZ9tyHwksvZpKFRCkq4Ng4dNbufY aOVXUnKq3p6UMEJnfdkSZR4Fa7qtKiAJh7E0ngL28YxoUKN/1sN+GBNb6enF+8cN 9fAtuIgwDn6j1p1WnVbUQoqVabPjstnV2vtiQ89FhDJY1YiGiMlK7g73hlvjB567 0rNie9JJaTxRqv2stx6m8SqSBA79t68UAsg/gjisttbY9bBG2nskH7BHHE3hXtet 1c4X/hlkw2EoS93vRMwgp/2iGFUYGnNR =wnQp -----END PGP SIGNATURE-----