В балансировщике нагрузки BIG-IP обнаружены уязвимости

Исследователь Кристофер Джеркеби (Christoffer Jerkeby) из компании F-Secure обнаружил уязвимость в коде балансировщика нагрузки BIG-IP от F5 Networks. Эксплуатация уязвимости позволяет злоумышленнику с помощью решения проникать в сеть и выполнять разные атаки против компаний или отдельных лиц, использующих web-сервисы на скомпрометированном устройстве.

Проблема безопасности присутствует в языке программирования Tcl, на котором написано решение iRules BIG-IP. Некоторые методы кодирования позволяют злоумышленникам вводить произвольные Tcl-команды для их выполнения в контексте безопасности целевого скрипта Tcl. Злоумышленники также могут перехватывать и манипулировать web-трафиком, раскрывая конфиденциальную информацию, включая учетные данные для аутентификации и данные приложений.

Исследователь отмечает ситуации, когда скомпрометированное устройство не будет записывать действия преступника и после атаки не останутся доказательств. В другом варианте злоумышленник может после эксплуатации уязвимости удалить логи, содержащие следы деятельности, и серьезно затруднить расследование инцидентов.

Однако данная проблема не может быть решена с помощью исправления или обновления программного обеспечения от поставщика, поэтому организации должны выполнить проверку на наличие уязвимости. Джеркеби помог разработать две бесплатные утилиты с открытым исходным кодом, которые организации могут использовать для выявления небезопасных конфигураций в своих решениях BIG-IP.

Комментарий производителя: Это не уязвимость ни в Tcl, ни в продуктах F5, а скорее проблема, связанная с используемой практикой написания пользовательских скриптов. Как и в большинстве языков программирования или скриптовых языков, можно создать код таким образом, чтобы появлялись уязвимости. Мы работаем со специалистами над документацией и уведомлениями для пользователей, таким образом чтобы клиенты могли оценить степень воздействия подобных угроз и принять необходимые меры для смягчения их последствий. Лучшая практика безопасности для скриптов Tcl - избегать всех применений регулярных выражений и подобных приемов, это гарантирует, что такие выражения не будут неожиданно и не верно применены. Клиентам рекомендуется оценить свои Tcl скрипты и внести все изменения, которые они сочтут необходимыми в соответствии с этой рекомендацией. Более подробная информация доступна в этом бюллетене безопасности .