Lỗi nghiêm trọng trên thiết bị BIG-IP (CVE-2020-5902)

[Sugi_b3o]

Gần đây F5 Networks đã phát hành bản cập nhật cho lỗ hổng RCE nghiêm trọng (CVE-2020-5902) ảnh hưởng đến các sản phẩm BIG-IP. Lỗ hổng đã được khai thác cho phép kẻ tấn công đọc tệp, thực thi mã hoặc kiểm soát hoàn toàn các hệ thống được cấu hình công khai trên Internet. Vấn đề bảo mật nhận được đánh giá nghiêm trọng là 9,8/10 dựa trên hệ thống điểm CVSS v3.1.

Khai thác lỗ hổng CVE 2020-5902, kẻ tấn công có quyền truy cập vào cấu hình của BIG-IP một cách trái phép và thực thi mã từ xa (RCE). Kẻ tấn công có thể tạo hoặc xóa các tệp, vô hiệu hóa các dịch vụ, chặn thông tin, chạy các lệnh tùy ý trên hệ thống, thỏa hiệp hoàn toàn hệ thống và theo đuổi các mục tiêu xa hơn, chẳng hạn như tấn công leo thang vào các lớp mạng bên trong. Điều này đặc biệt nguy hiểm đối với các công ty sử dụng giao diện web F5 BIG-IP được liệt kê trên các công cụ tìm kiếm như Shodan.

Bộ Tư lệnh Không gian Hoa Kỳ (USCyber -Command) đã tweet “Cài đặt bản vá CVE 2020-5902 và 5903 không nên hoãn lại đến cuối tuần. Hãy làm ngay lập tức”

Bằng các công cụ tìm kiếm như shodan chúng ta có thể thấy được hơn 8000 thiết bị BIG-IP đang được public ra bên ngoài Internet bao gồm nhiều công ty nổi tiếng mình đã tìm được như Hpe, Deloitte, Walmart , ....

May mắn thay Việt Nam chỉ có 28 máy chủ trong số đó, tuy nhiên việc 1 thiết bị BIG-IP bảo vệ cho hàng chục hay hàng trăm domain/subdomain là việc bình thường vì thế các công ty đang sử dụng nên cập nhật bản vá ngay lập tức để tránh bị tấn công.

Bên cạnh đó Metasploit và nmap đã công bố mã nguồn khai thác lỗ hổng CVE 2020-5902 khiến cho việc chạy đua với thời gian của blueteam ngày càng bị rút ngắn.

Ngoài ra việc cập nhật signature cho các công cụ IDS/IPS là cần thiết để ngăn chặn, cảnh báo khi chưa kịp update các thiết bị BIG-IP.

Các bạn có thể xem update từ hãng F5Network hoặc xem bài của viết của Mod DDOS tại đây để fix cho thiết bị của mình

Tham khảo: Qualys​