PC & Internet Sicherheitsupdates F5 BIG-IP: Angreifer können Passwörter erraten

Sicherheitsupdates F5 BIG-IP: Angreifer können Passwörter erraten​

Alert! 04.08.2023 09:52 Uhr Dennis Schirrmacher

Du musst angemeldet sein, um Bilder zu sehen.

(Bild: Tatiana Popova/Shutterstock.com)
Es sind wichtige Sicherheitspatches für mehrere BIG-IP-Produkte von F5 erschienen. Admins sollten zeitnah handeln.

Angreifer können an verschiedenen BIG-IP-Appliances von F5 ansetzen. Nach erfolgreichen Attacken sind neben unbefugten Zugriffen auch der Zugriff auf Passwörter vorstellbar. Dagegen abgesicherte Versionen sind verfügbar.

Admins sollten die unterhalb dieser Meldung verlinkten Warnmeldungen studieren, um die sie betreffenden Produkte und Sicherheitsupdates ausfindig zu machen.

Die Sicherheitslücken​

Von den Schwachstellen sind unter anderem der Edge Client unter macOS und Windows im Kontext von BIG-IP Access Policy Manager (APM) betroffen. Durch das erfolgreiche Ausnutzen einer Lücke (CVE-2023-36858 "hoch") kann ein authentifizierter Angreifer die Server-Liste modifizieren und so Traffic umleiten.

Das Configuration Utility ist in allen BIG-IP-Modulen verwundbar. An der Schwachstelle (CVE-2023-38138 "hoch") können Angreifer mit präparierten URLs für eine XSS-Attacke ansetzen, die aber nicht persistent ist.

Schwache Passwörter​

Die verbleibenden Schwachstellen sind mit dem Bedrohungsgrad "mittel" eingestuft. Hier ist es unter anderem möglich, dass Angreifer an BIG-IP-Plattformen mit Cavium-Nitrox-FIPS-HSM-Karten ansetzen (CVE-2023-3470 "mittel"). Diese Konstellation erzeugt deterministische Passwörter, die authentifizierte Angreifer mit Zugriff auf die TMOS Shell rekonstruieren können. Außerdem ist es möglich, dass Angreifer mit mindestens Gast-Rechten den iCOntrol-SOAP-Prozess lahmlegen können.

Liste nach Bedrohungsgrad absteigend sortiert:

• BIG-IP Edge Client for macOS vulnerability CVE-2023-38418 [1]
• BIG-IP Configuration utility vulnerability CVE-2023-38138 [2]
• BIG-IP Edge Client for Windows and macOS vulnerability CVE-2023-36858 [3]
• BIG-IP FIPS HSM password vulnerability CVE-2023-3470 [4]
• BIG-IP Configuration utility vulnerability CVE-2023-38423 [5]
• BIG-IP and BIG-IQ iControl SOAP vulnerability CVE-2023-38419 [6]

(des [7])

---

URL dieses Artikels:

Sicherheitsupdates F5 BIG-IP: Angreifer können Passwörter erraten

Es sind wichtige Sicherheitspatches für mehrere BIG-IP-Produkte von F5 erschienen. Admins sollten zeitnah handeln.

www.heise.de