Vulnerabilidad crítica en F5 BIG-IP y BIG-IQ podría estar explotándose activamente

Investigadores de NCC Group han detectado ataques y escaneos de redes en búsqueda de la vulnerabilidad CVE-2021-22986 presente en F5 BIG-IP y BIG-IQ que, junto con los últimos exploits que se están publicando, podrían indicar que se esté gestando una explotación masiva del fallo.

El pasado 10 de de marzo, F5 emitió un parche para corregir, entre otras, la vulnerabilidad CVE-2021-22986 calificada con una puntuación CVSS de 9.8. El fallo, existente en la interfaz REST de iControl, pondría en riesgo todo el sistema al posibilitar que atacantes no autenticados con acceso a dicha interfaz pudiesen ejecutar comandos del sistema, crear o eliminar archivos y deshabilitar servicios.

Durante los siguientes días, varios investigadores hicieron públicos códigos con pruebas de concepto (PoC) tras analizar la solución de F5 y realizar ingeniería inversa.

Todo esto ha derivado en que, a partir del 18 de marzo, comenzaran a detectarse múltiples escaneos de redes e intentos de explotación contra dispositivos F5 aun no parcheados. Los investigadores de NCC Group decidieron alertar de este hecho puesto que algunas de las compañías de tecnología más grandes del mundo como Oracle, Microsoft, Facebook, instituciones financieras e ISP utilizan las tecnologías de F5 en sus redes empresariales, con lo que podríamos encontrarnos ante un escenario especialmente sensible.

Tal y como exponen Rich Warren y Sander Laarhoven de NCC Group, para explotar la vulnerabilidad primero se debe saltar la autenticación aprovechando la vulnerabilidad SSRF (Server-side request forgery) para obtener un token de sesión autenticado. Esto permite la interacción con los puntos finales de la API REST entre los que destacarían tm/access/bundle-install-tasks y tm/util/bash que posibilitan la ejecución de comandos con privilegios de root.

Sin embargo, este sábado 20 de marzo se ha observado una variante del exploit que no requiere SSRF, por lo que se recomienda tratar cualquier petición POST a la API REST como sospechosa.

Desde NCC Group se proporciona información detallada de los escaneos y ataques analizados, cadenas y reglas de red (Suricata) para detectarlos, y diversos exploits para analizar mejor la amenaza.

Se recomienda a las empresas que utilicen F5 BIG-IP y BIG-IQ que apliquen los últimos parches de seguridad disponibles, así como tomar las medidas necesarias para evitar ser objetivos de un ataque.

Más información:
RIFT: Detection capabilities for recent F5 BIG-IP/BIG-IQ iControl REST API vulnerabilities CVE-2021-22986
https://research.nccgroup.com/2021/03/18/rift-detection-capabilities-for-recent-f5-big-ip-big-iq-icontrol-rest-api-vulnerabilities-cve-2021-22986/

K03009991: iControl REST unauthenticated remote command execution vulnerability CVE-2021-22986
https://support.f5.com/csp/article/K03009991

Suricata rules to detect CVE-2021-22986 exploit chain by Fox-IT SRT / NCC Group RIFT
https://github.com/nccgroup/Cyber-Defence/blob/master/Signatures/suricata/2021_03_cve_2021_22986.txt

Múltiples vulnerabilidades críticas (RCE) en F5 Big-IP
https://unaaldia.hispasec.com/2021/03/multiples-vulnerabilidades-criticas-rce-en-f5-big-ip.html

La entrada Vulnerabilidad crítica en F5 BIG-IP y BIG-IQ podría estar explotándose activamente se publicó primero en Una al Día.