Se han identificado dos vulnerabilidades de seguridad en el sistema F5 Next Central Manager que podrían ser explotadas por actores maliciosos para obtener control total sobre los dispositivos y crear cuentas de administrador ocultas, logrando persistencia en el sistema.
Descripción de las vulnerabilidades
Las fallas explotables remotamente permiten a los atacantes adquirir control administrativo total del dispositivo y, posteriormente, crear cuentas en cualquier activo F5 que sea gestionado por Next Central Manager. Eclypsium, firma de seguridad, destacó este riesgo en un informe reciente.
Las vulnerabilidades afectan las versiones de Next Central Manager desde la 20.0.1 hasta la 20.1.0. Las deficiencias han sido corregidas en la versión 20.2.0.
- CVE-2024-21793 (puntuación CVSS: 7,5): una vulnerabilidad de inyección de OData que podría permitir a un atacante no autenticado ejecutar sentencias SQL maliciosas a través de la API de BIG-IP NEXT Central Manager.
- CVE-2024-26026 (puntuación CVSS: 7,5): una vulnerabilidad de inyección SQL que podría permitir a un atacante no autenticado ejecutar sentencias SQL maliciosas a través de la API BIG-IP Next Central Manager.
Riesgos asociados
La explotación exitosa de estas vulnerabilidades puede resultar en un control administrativo total del dispositivo, lo que permite a los atacantes combinarlo con otras fallas para crear nuevas cuentas en cualquier activo de BIG-IP Next administrado por el Administrador Central.
Estas cuentas maliciosas permanecerían ocultas al propio Gestor Central. Esto es posible gracias a una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) que permite invocar una API no documentada y crear las cuentas.
Esto significa que incluso si se restablece la contraseña de administrador en el Administrador Central y se parchea el sistema, el acceso del atacante aún podría permanecer.
Otras debilidades identificadas
Eclypsium también descubrió dos debilidades adicionales que podrían permitir a los atacantes lanzar ataques de fuerza bruta contra las contraseñas de administrador y facilitar que un administrador restablezca sus contraseñas sin conocer la anterior. Un atacante podría utilizar este problema como arma para bloquear el acceso legítimo al dispositivo desde cada cuenta.
Aunque no hay indicios de que las vulnerabilidades hayan sido explotadas activamente en la naturaleza, se recomienda que los usuarios actualicen sus instancias a la última versión para mitigar posibles amenazas.