F5 Networks publie des patchs corrigeant des vulnérabilités importantes

Des vulnérabilités de criticité importante ont été corrigées dans les patchs publiés par F5 Networks :

• CVE-2018-5511 : dans BIG-IP versions 13.1.0 à 13.1.0.3 et 13.0.0, lorsque des utilisateurs administratifs authentifiés exécutent des commandes dans l'utilitaire de configuration, la politique de restriction des commandes n'est pas appliquée. Ce défaut permet à des utilisateurs administratifs authentifiés d'élever leurs privilèges ;

• CVE-2017-6143 : dans BIG-IP versions 12.0.0 à 12.1.2, 11.6.0 à 11.6.2 et 11.5.0 à 11.5.5, un défaut de vérification des certificats X509 mènerait à une mauvaise validation de l'identité des serveurs ;

• CVE-2017-6148 : dans BIG-IP versions 13.0.0, 12.0.0 à 12.1.3.1, 11.6.1 à 11.6.2 et 11.5.1, un défaut dans les réponses aux requêtes proxy causerait la perturbation des services assurés par TMM. En outre, un attaquant pourrait provoquer le déni de service de BIG-IP en causant le redémarrage du processus TMM ;

• CVE-2017-6155 : dans BIG-IP versions 13.0.0, 12.0.0 à 12.1.3.1, 11.6.0 à 11.6.2, 11.4.1 à 11.5.5 et 11.2.1, des requêtes SPDY ou HTTP/2 mal formées causeraient la perturbation des services assurés par TMM. Un attaquant pourrait exploiter cette vulnérabilité pour perturber le trafic ou basculer le BIG-IP sur un autre périphérique du groupe de périphériques ;

• CVE-2017-6158 : dans BIG-IP versions 12.0.0 à 12.1.2, 11.6.0 à 11.6.1, 11.5.1 à 11.5.5 et 11.2.1, il existe un défaut de gestion des adresses IP du processus TMM. Le système est vulnérable dans le cas où les paramètres "Auto Last Hop" et "Source VLAN Checking" sont désactivés ;

• CVE-2018-5507 : dans BIG-IP versions 13.0.0, 12.1.0 à 12.1.3.1, 11.6.1 à 11.6.2 et 11.5.1 à 11.5.5, des connexions SSL pourraient être interrompues si le paramètre MTU a une valeur trop faible. Cette faille est due à un mauvais déchiffrement par des invités vCMP, s'exécutant sur VIPRION 2100, 4200 et 4300, de données chiffrées dans le cadre d'une session SSL ; 

• CVE-2018-5506 : dans BIG-IP versions 13.0.0, 12.1.0 à 12.1.2, 11.6.1, 11.5.1 à 11.5.5 et 11.2.1, des modules d'authentification d'Apache permettent l'attaque par force brute du paramètre d'autorisation "em_server_ip". L'exploitation de cette vulnérabilité permettrait aux attaquants d'obtenir des certificats clients valides.