Des vulnérabilités de criticité importante ont été corrigées dans les patchs publiés par F5 Networks :
- CVE-2018-5511 : dans BIG-IP versions 13.1.0 à 13.1.0.3 et 13.0.0, lorsque des utilisateurs administratifs authentifiés exécutent des commandes dans l'utilitaire de configuration, la politique de restriction des commandes n'est pas appliquée. Ce défaut permet à des utilisateurs administratifs authentifiés d'élever leurs privilèges ;
- CVE-2017-6143 : dans BIG-IP versions 12.0.0 à 12.1.2, 11.6.0 à 11.6.2 et 11.5.0 à 11.5.5, un défaut de vérification des certificats X509 mènerait à une mauvaise validation de l'identité des serveurs ;
- CVE-2017-6148 : dans BIG-IP versions 13.0.0, 12.0.0 à 12.1.3.1, 11.6.1 à 11.6.2 et 11.5.1, un défaut dans les réponses aux requêtes proxy causerait la perturbation des services assurés par TMM. En outre, un attaquant pourrait provoquer le déni de service de BIG-IP en causant le redémarrage du processus TMM ;
- CVE-2017-6155 : dans BIG-IP versions 13.0.0, 12.0.0 à 12.1.3.1, 11.6.0 à 11.6.2, 11.4.1 à 11.5.5 et 11.2.1, des requêtes SPDY ou HTTP/2 mal formées causeraient la perturbation des services assurés par TMM. Un attaquant pourrait exploiter cette vulnérabilité pour perturber le trafic ou basculer le BIG-IP sur un autre périphérique du groupe de périphériques ;
- CVE-2017-6158 : dans BIG-IP versions 12.0.0 à 12.1.2, 11.6.0 à 11.6.1, 11.5.1 à 11.5.5 et 11.2.1, il existe un défaut de gestion des adresses IP du processus TMM. Le système est vulnérable dans le cas où les paramètres "Auto Last Hop" et "Source VLAN Checking" sont désactivés ;
- CVE-2018-5507 : dans BIG-IP versions 13.0.0, 12.1.0 à 12.1.3.1, 11.6.1 à 11.6.2 et 11.5.1 à 11.5.5, des connexions SSL pourraient être interrompues si le paramètre MTU a une valeur trop faible. Cette faille est due à un mauvais déchiffrement par des invités vCMP, s'exécutant sur VIPRION 2100, 4200 et 4300, de données chiffrées dans le cadre d'une session SSL ;
- CVE-2018-5506 : dans BIG-IP versions 13.0.0, 12.1.0 à 12.1.2, 11.6.1, 11.5.1 à 11.5.5 et 11.2.1, des modules d'authentification d'Apache permettent l'attaque par force brute du paramètre d'autorisation "em_server_ip". L'exploitation de cette vulnérabilité permettrait aux attaquants d'obtenir des certificats clients valides.
Impact
- Divulgation d'informations ;
- Perturbation de service ;
- Déni de service ;
- Échec d'identification ;
- Élévation de privilèges.
Criticité
- CVSS v3 : 7.5
Existence d’un code d’exploitation de la vulnérabilité
- Non, aucun code permettant l’exploitation de la vulnérabilité n’est connu publiquement à ce jour.
Composants & versions vulnérables
- BIG-IP LTM, AAM, AFM, Analytics, APM, ASM, DNS, Edge Gateway, GTM, Link Controller, PEM, PSM, WebAccelerator et WebSafe versions 13.x antérieures à 13.1.0.4, 13.0.1 et 13.0.0 HF1 ;
- BIG-IP LTM, AAM, AFM, Analytics, APM, ASM, DNS, Edge Gateway, GTM, Link Controller, PEM, PSM, WebAccelerator et WebSafe versions 12.x antérieures à 12.1.3.2 ;
- BIG-IP LTM, AAM, AFM, Analytics, APM, ASM, DNS, Edge Gateway, GTM, Link Controller, PEM, PSM, WebAccelerator et WebSafe versions 11.x antérieures à 11.6.3 et 11.5.6.
CVE
- CVE-2018-5511 ;
- CVE-2017-6143 ;
- CVE-2017-6148 ;
- CVE-2017-6155 ;
- CVE-2017-6158 ;
- CVE-2018-5507 ;
- CVE-2018-5506.
Correctifs
- Les correctifs pour les vulnérabilités sont disponibles respectivement sur les avis de sécurité (K65355492 CVE-2018-5506, K52521791 CVE-2018-5507, K10930474 CVE-2017-6155, K55225440 CVE-2017-6148, K11464209 CVE-2017-6143, K30500703 CVE-2018-5511, K19361245 CVE-2017-6158).
Solution de contournement
- Les solutions de contournement pour les vulnérabilités sont disponibles respectivement sur les avis de sécurité (K65355492 CVE-2018-5506, K52521791 CVE-2018-5507, K10930474 CVE-2017-6155, K55225440 CVE-2017-6148, K11464209 CVE-2017-6143, K30500703 CVE-2018-5511, K19361245 CVE-2017-6158).