-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512
#####################################################
## N C S C ~ B E V E I L I G I N G S A D V I E S ##
#####################################################
######################## UPDATE 1.03 #############################
Titel : Kwetsbaarheden verholpen in F5 BIG-IP
Advisory ID : NCSC-2021-0240
Versie : 1.03
Kans : high
CVE ID : CVE-2021-22986, CVE-2021-22987, CVE-2021-22988,
CVE-2021-22989, CVE-2021-22990, CVE-2021-22991,
CVE-2021-22992, CVE-2021-22993, CVE-2021-22994,
CVE-2021-22998, CVE-2021-22999, CVE-2021-23000,
CVE-2021-23001, CVE-2021-23002, CVE-2021-23003,
CVE-2021-23004
(Details over de kwetsbaarheden kunt u vinden op
de Mitre website: http://cve.mitre.org/cve/)
Schade : high
Denial-of-Service (DoS)
Omzeilen van beveiligingsmaatregel
(Remote) code execution (Administrator/Root rechten)
Uitgiftedatum : 20210322
Toepassing : F5 BIG-IP
F5 BIG-IP Virtual Clustered Multiprocessing (vCMP)
F5 BIG-IP Access Policy Manager (APM)
F5 BIG-IP Access Policy Manager (APM) Standalone
Appliance
Versie(s) :
Platform(s) :
Update
Het NCSC heeft signalen ontvangen dat de kwetsbaarheid met kenmerk
CVE-2021-22986 aktief wordt uitgebuit. Nadere informatie over deze
kwetsbaarheden en de beschikbare updates is te vinden op de NCSC
website, zie:
https://www.ncsc.nl/actueel/advisory?id=NCSC-2021-0240
Indien u gebruik maakt van een van deze F5 producten, dan adviseert
het NCSC u om daar actie op te ondernemen.
Extra (technische)achtergrond informatie kunt u vinden op de
volgende pagina:
https://research.nccgroup.com/2021/03/18
/rift-detection-capabilities-for-recent-f5-big-ip-big-iq-icontrol
-rest-api-vulnerabilities-cve-2021-22986/
Beschrijving
F5 heeft meerdere kwetsbaarheden verholpen in de
BIG-IP-productenlijn. De kwetsbaarheden stellen een (mogelijk
ongeauthenticeerde) kwaadwillende op afstand in staat aanvallen uit
te voeren die leiden tot de volgende categorieën schade:
* Cross-Site Scripting (XSS)
* Denial-of-Service (DoS)
* Omzeilen van beveiligingsmaatregel
* (Remote) code execution (Administrator/Root rechten)
De kwetsbaarheden met kenmerk CVE-2021-22986, CVE-2021-22987,
CVE-2021-22988, CVE-2021-22991 en CVE-2021-22992 hebben een
CVSS3.1-score van ten minste 8.8 gekregen. Elk van deze vijf
kwetsbaarheden stelt een kwaadwillende, al dan niet
ongeauthenticeerd en op afstand, in staat willekeurige commando's of
code uit te voeren op het kwetsbare systeem.
De kwetsbaarheid met kenmerk CVE-2021-22986 maakt het mogelijk om
ongeauthenticeerd commando's uit te voeren via de iControl REST API
en heeft een CVSS-score van 9.8.
De kwetsbaarheid met kenmerk CVE-2021-22992 heeft een CVSS-score van
9.0 en betreft een buffer-overflow in Advanced WAF/ASM virtual
servers. Deze kwetsbaarheid kan mogelijk ongeauthenticeerd en op
afstand worden misbruikt voor het veroorzaken van een DoS. Onder
bepaalde omstandigheden kan deze kwetsbaarheid tevens worden
misbruikt voor het uitvoeren van willekeurige code op het kwetsbare
systeem.
De kwetsbaarheid met de hoogte CVSS-score van 9.9 is CVE-2021-22987.
Deze kwetsbaarheid stelt een geauthenticeerde kwaadwillende in staat
om willekeurige commando's uit te voeren op de Traffic Management
User Interface (TMUI).
Mogelijke oplossingen
F5 heeft updates uitgebracht om de kwetsbaarheden te verhelpen in
BIG-IP. Voor meer informatie, zie:
Voor een overzicht van kwetsbaarheden die door F5 als kritiek worden
beschouwd, zie:
https://support.f5.com/csp/article/K02566623
CVE-2021-22986:
https://support.f5.com/csp/article/K03009991
CVE-2021-22987:
https://support.f5.com/csp/article/K18132488
CVE-2021-22988:
https://support.f5.com/csp/article/K70031188
CVE-2021-22989:
https://support.f5.com/csp/article/K56142644
CVE-2021-22990:
https://support.f5.com/csp/article/K45056101
CVE-2021-22991:
https://support.f5.com/csp/article/K56715231
CVE-2021-22992:
https://support.f5.com/csp/article/K52510511
CVE-2021-22993:
https://support.f5.com/csp/article/K55237223
CVE-2021-22994:
https://support.f5.com/csp/article/K66851119
CVE-2021-22998:
https://support.f5.com/csp/article/K31934524
CVE-2021-22999:
https://support.f5.com/csp/article/K02333782
CVE-2021-23000:
https://support.f5.com/csp/article/K34441555
CVE-2021-23001:
https://support.f5.com/csp/article/K06440657
CVE-2021-23002:
https://support.f5.com/csp/article/K71891773
CVE-2021-23003:
https://support.f5.com/csp/article/K43470422
CVE-2021-23004:
https://support.f5.com/csp/article/K31025212
Vrijwaringsverklaring
Door gebruik van deze security advisory gaat u akkoord met de
navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
kan het NCSC niet instaan voor de volledigheid, juistheid of
(voortdurende) actualiteit van dit beveiligingsadvies. De informatie
in dit beveiligingsadvies is uitsluitend bedoeld als algemene
informatie voor professionele partijen. Aan de informatie in dit
beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
van het gebruik of de onmogelijkheid van het gebruik van dit
beveiligingsadvies, waaronder begrepen schade ten gevolge van de
onjuistheid of onvolledigheid van de informatie in dit
beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
van toepassing. Alle geschillen in verband met en/of voortvloeiend
uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8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=a0fe
-----END PGP SIGNATURE-----
