F5 BIG-IP CVE-2022-1388 : la porte devant les applications
Six jours. C'est le temps qu'il a fallu, en mai 2022, entre le correctif de F5 et l'inscription de la faille comme exploitée par la CISA. Elle permettait à quiconque pouvait atteindre l'API d'administration d'un BIG-IP d'y exécuter des commandes, sans mot de passe.
Et un BIG-IP se trouve devant les applications.
Le dossier officiel
CVE-2022-1388, dans l'API d'administration iControl REST de F5 BIG-IP : certaines requêtes pouvaient contourner entièrement l'authentification. F5 et la NVD lui attribuent un score de 9,8.
La CISA signale une utilisation connue par des rançongiciels, et l'a classée parmi les douze vulnérabilités les plus couramment exploitées en 2022.
À quel point est-ce facile ?
L'attaquant doit atteindre iControl REST, sur le port d'administration ou sur l'une des adresses self IP de l'équipement. Aucun compte. Faible complexité.
La CISA l'a jugée automatisable, et a alerté sur une exploitation à grande échelle en raison de sa facilité.
Le principe de fonctionnement
L'API d'administration est censée vérifier qui fait la demande. Ici, certaines requêtes échappaient à ce contrôle. Dès lors, des commandes système s'exécutent sur l'équipement.
Et tout ce qui se trouve derrière, les applications web, le VPN, les API, passe par ce seul équipement.
L'impact
Des commandes système arbitraires. Des fichiers créés ou supprimés, et des services arrêtés. Le contrôle d'un équipement par lequel passe le trafic applicatif.
Et F5 prévient qu'un attaquant expérimenté peut effacer les traces : en cas de doute, considérez l'équipement comme compromis.
Comment fermer la porte
Passez à une version corrigée : 16.1.2.2, 15.1.5.1, 14.1.4.6 ou 13.1.5. Les versions 12.1 et 11.6 ne seront jamais corrigées.
En attendant le correctif, réglez Port Lockdown sur Allow None sur chaque self IP, et cantonnez l'interface d'administration aux seuls réseaux de confiance.
Et le conseil de la CISA pour un équipement qui a été exposé : partez du principe qu'il est compromis, réinstallez-le entièrement (reimage) et émettez de nouveaux identifiants.
Ce que NacTrack montre
NacTrack lit la version de chaque BIG-IP et la confronte aux avis publiés, avec l'indicateur d'exploitation connue de la CISA.
Sources
Sources : CISA KEV, F5 K23605346, NVD, CISA AA22-138A et AA23-215A.
Formation défensive : l'attaque est montrée dans son principe seulement, sans étape d'exploitation, outil ni charge utile. Les sorties de commande et les configurations sont des exemples ; vérifiez votre plateforme et votre version dans la documentation du constructeur.
Savoir où votre réseau est exposé
NacTrack relève les versions et les configurations sur vos équipements, et les confronte aux avis publiés.