F5 publica vulnerabilidades en sus productos BIG-IP

F5 ha publicado 1 nuevo aviso de seguridad que contempla 1 vulnerabilidad, catalogada de severidad Alta, esta falla afecta al producto BIG-IP.

CVE-2023-46748 [CVSSv3: 8.8]

Vulnerabilidad de inyección SQL autenticada por la utilidad de configuración BIG-IP

Esta vulnerabilidad puede permitir que un atacante autenticado con acceso de red a la utilidad de configuración a través del puerto de administración BIG-IP y/o direcciones IP propias ejecute comandos arbitrarios del sistema. No hay exposición al plano de datos; Este es un problema únicamente del plano de control.

Se recomienda lo siguiente:

• Instalar las actualizaciones del fabricante disponibles en medios oficiales del proveedor, previo análisis del impacto que podría provocar en los servicios críticos para el negocio de su organización. Para ello consulte con su personal técnico o áreas resolutorias correspondientes.
  • Como este ataque lo llevan a cabo usuarios legítimos y autenticados, no existe una mitigación viable que también permita a los usuarios acceder a la utilidad de configuración. La única mitigación es eliminar el acceso a los usuarios en los que no se confía completamente.
  • Hasta que se pueda instalar una versión fija, F5 facilita las siguientes secciones como mitigaciones temporales. Estas mitigaciones restringen el acceso a la utilidad de configuración solo a redes o dispositivos confiables, lo que limita la superficie de ataque.
  • Bloquear el acceso a la utilidad de configuración a través de direcciones IP propias: para hacerlo, puede cambiar la  configuración  de bloqueo de puerto a “No permitir ninguno” para cada dirección IP propia en el sistema. Si debe abrir algún puerto, debe usar la  opción “Permitir personalizado” , teniendo cuidado de bloquear el acceso a la utilidad de configuración. De forma predeterminada, la utilidad de configuración se escucha en el puerto TCP 443. Si modificó el puerto predeterminado, asegúrese de bloquear el acceso al puerto alternativo que configuró.
• Bloquee el acceso a la utilidad de configuración de bloques a través de la interfaz de administración