Vulnérabilités dans les produits F5

Date de publication :

De multiples vulnérabilités ont été découvertes dans BIG-IP et BIG-IQ, logiciels distribués par F5. Un attaquant distant peut exécuter des requêtes SQL arbitraires, ainsi que causer un déni de service.

CVE-2018-16850 [Score CVSS v3 : 9.8] : Une vulnérabilité de type injection SQL a été découverte dans les versions de PostgreSQL utilisées par BIG-IQ Centralized Management. Un attaquant distant disposant d’un faible niveau de privilèges peut exécuter des requêtes SQL arbitraires (avec le niveau de privilèges le plus haut) via une définition de “trigger” spécialement conçue.

CVE-2020-5872 [Score CVSS v3 : 7.5] : Une vulnérabilité de type déni de service a été découverte dans le pilote cryptographique utilisé par BIG-IP. Un attaquant distant non-authentifié peut provoquer le plantage du noyau de gestion du trafic via l’envoi de paquets TLS spécialement conçus.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Exécution de requêtes SQL arbitraires
  • Déni de service

Criticité

  • Score CVSS v3 : 9.8 maximum

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement à ce jour

Composants vulnérables

  • CVE-2018-16850 : BIG-IQ Centralized Management version 7.1.0
  • CVE-2020-5872 : 

    • BIG-IP version 14 avant la version 14.1.2.4 ou 14.0.1.1 selon le numéro de version intermédiaire
    • BIG-IP version 13 avant la version 13.1.3.2
    • BIG-IP version 12 avant la version 12.1.5

CVE

  • CVE-2018-16850
  • CVE-2020-5872

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • CVE-2018-16850 : aucun correctif proposé par F5

  • CVE-2020-5872 : mettre à jour BIG-IP vers une version non-vulnérable (voir la section “Composants vulnérables”)

Solution de contournement

  • Aucune solution de contournement n’est disponible

Liens