F5 ha confirmado dos vulnerabilidadesen múltiples de sus productos que podrían permitir a atacantes locales provocar condiciones de denegación de servicio, acceder a información sensible o conseguir acceso administrativo al dispositivo.
F5 Networks es una compañía americana, con sede en Seattle (Washington, EE.UU.), conocida por soluciones de alto nivel, con múltiples productos y soluciones de red que incluyen desde Application Delivery Controllers, hasta soluciones de seguridad y protección de centros de datos y de las aplicaciones de esos CPD.
El primer problema, con CVE-2015-7394, reside en el módulo kernel datastor en dispositivos BIG-IP 11.1.0 hasta 11.6.0 podría permitir a un atacante local provocar condiciones de denegación de servicio o elevar sus privilegios en el sistema.
Por otra parte, un error en el módulo pam_unix en Linux-PAM (conocido simplemente como pam) anterior a 1.2.1, podría permitir a un atacante local enumerar los nombres de usuarios o provocar una denegación de servicio a través de una contraseña de gran tamaño (CVE-2015-3238).
Los problemas afectan a toda prácticamente toda la gama de productos BIG-IP, junto con el Enterprise Manager. F5 Networks ha publicado versiones actualizadas para la mayoría de los productos afectados.
Más información:
sol17407: Datastor kernel vulnerability CVE-2015-7394
sol17494: PAM vulnerability CVE-2015-3238
Antonio Ropero
Twitter: @aropero
Agradecemos a Hispasec por ayudarnos a alertar a nuestro usuarios de estas vulnerabilidades.
Quisiéramos agregar que en ambos casos las vulnerabilidades deben ser explotadas por usuarios conectados a la administración de la plataforma, la cual normalmente está restringida a una red de management.
En el caso del CVE-2015-7394 el usuario además debe estar autenticado para explotar la vulnerabilidad.
De manera adicional para evitar que la vulnerabilidad CVE-2015-3238 sea explotada se recomienda segurizar el acceso a la administración vía SSL tanto en el puerto de management como también en las Self IP.
Estamos atentos a a cualquier consulta de nuestros usuarios y canales.
Atentamente.
El equipo F5 LatAm