Vulnérabilités dans les produits F5

Date de publication :

De multiples vulnérabilités ont été découvertes dans l’interface TMUI (“Traffic Management User Interface”) utilisée par les produits BIG-IP distribués par F5. Un attaquant distant exploitant ces vulnérabilités peut obtenir des informations sensibles, pousser les utilisateurs à effectuer des actions arbitraires, voire directement exécuter du code et des commandes arbitraires.

CVE-2020-5902 [Score CVSS v3 : 10.0] : Une vulnérabilité de type exécution de commandes et de code arbitraire a été découverte dans TMUI. Un attaquant distant non-authentifié peut exécuter des commandes système ainsi que du code Java arbitraire, via l’utilisation d’un bogue non-spécifié sur certaines pages de l’interface. 

CVE-2020-5904 [Score CVSS v3 : 8.8] : Une vulnérabilité de type CSRF a été découverte dans TMUI. Un attaquant distant non-authentifié peut forcer un utilisateur (tel qu’un administrateur) à exécuter des actions sensibles, dont l’exécution de commandes TMOS Shell. 

CVE-2020-5903 [Score CVSS v3 : 7.5] : Une vulnérabilité de type XSS a été découverte dans TMUI. Un attaquant distant non-authentifié peut forcer l’exécution de code JavaScript par un utilisateur, pouvant résulter en la compromission totale de la machine si ce dernier dispose d’un niveau de privilèges administrateur.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Fuite d’informations sensibles
  • Exécution de commande système arbitraires
  • Exécution de code arbitraire
  • Exécution d’actions arbitraires via la session d’un utilisateur

Criticité

  • Score CVSS v3 : 10.0 maximum

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement à ce jour

Composants vulnérables

  • BIG-IP version 15 avant la version 15.1.0.4
  • BIG-IP version 14 avant la version 14.1.2.6
  • BIG-IP version 13 avant la version 13.1.3.4
  • BIG-IP version 12 avant la version 12.1.5.2
  • BIG-IP version 11 avant la version 11.6.5.2 (CVE-2020-5902 uniquement)

CVE

  • CVE-2020-5902
  • CVE-2020-5903
  • CVE-2020-5904

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour BIG-IP vers une version non-vulnérable (voir la section “Composants vulnérables”)

Solution de contournement

  • Aucune solution de contournement

Liens