Los equipos de seguridad BIG-IP de F5 Networks solucionaron un total de 13 vulnerabilidades de alta severidad detectadas en sus dispositivos de red, incluyendo una falla crítica que podría ser explotada en condiciones específicas. Estas fallas fueron abordadas en el más reciente parche de seguridad de la compañía.
Acorde al reporte, la falla crítica detectada reside en una configuración diseñada “para cumplir con las demandas de clientes en sectores altamente sensibles”, por lo que fue abordada inmediatamente después de que F5 recibió la alerta. Identificada como CVE-2021-23031, la falla afecta a los módulos BIG-IP Advanced Web Application Firewall (WAF) y Application Security Manager (ASM), específicamente la Traffic Management User Interface (TMUI).
La vulnerabilidad recibió un puntaje de 8.8/10 según el Common Vulnerability Scoring System (CVSS), aunque la severidad aumenta a 9.9/10 en caso de que el administrador aplique algunas configuraciones determinadas. Si bien el reporte de F5 no agrega más información sobre estas configuraciones, se afirma que la vulnerabilidad podría volverse crítica sólo en algunos escenarios determinados, impactando a un número reducido de clientes.
A continuación se muestra una lista de todas las fallas abordadas en esta actualización (la descripción completa de cada vulnerabilidad está disponible en el reporte de F5)
- CVE-2021-23025: Afecta a todos los módulos de BIG-IP
- CVE-2021-23026: Afecta a todos los módulos de BIG-IP
- CVE-2021-23027: Afecta a todos los módulos de BIG-IP
- CVE-2021-23028: Afecta a BIG-IP WAF y ASM
- CVE-2021-23029: Afecta a BIG-IP WAF y ASM
- CVE-2021-23030: Afecta a BIG-IP WAF y ASM
- CVE-2021-23031: Afecta a BIG-IP WAF y ASM
- CVE-2021-23032: Afecta a BIG-IP DNS
- CVE-2021-23033: Afecta a BIG-IP WAF y ASM
- CVE-2021-23034: Afecta a todos los módulos de BIG-IP
- CVE-2021-23035: Afecta a todos los módulos de BIG-IP
- CVE-2021-23036: Afecta a BIG-IP WAF y ASM
- CVE-2021-23037: Afecta a todos los módulos de BIG-IP
Todos los errores reportados recibieron puntajes CVSS de entre 7.2/10 y 9.9/10.
Al respecto, la Agencia de Ciberseguridad y Seguridad de Infraestructura (CISA) recomienda emitió una alerta de seguridad para alentar a los usuarios de implementaciones afectados a instalar las actualizaciones o, en caso de no poder instalar ahora mismo, habilitar otras medidas de mitigación.
Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).
Trabajando como arquitecto de ciberseguridad, el se enfoca en protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad con diferentes empresas. También tiene experiencia en diferentes industrias como finanzas, salud medica y reconocimiento facial.