La empresa de entrega de aplicaciones y seguridad F5 ha publicado su notificación de seguridad trimestral de octubre de 2022, informando a los clientes sobre un total de 18 vulnerabilidades que afectan a sus productos.
A una docena de estas vulnerabilidades se les asignó una calificación de “gravedad alta”. Uno de ellos es una vulnerabilidad de ejecución de código remoto autenticado que afecta a los sistemas implementados en modo estándar o de dispositivo. La vulnerabilidad tiene una calificación “crítica” si el dispositivo está en modo dispositivo. Un atacante con privilegios elevados puede explotar la vulnerabilidad para ejecutar comandos arbitrarios del sistema, crear o eliminar archivos o deshabilitar servicios.
La mayoría de las vulnerabilidades restantes de alta gravedad pueden permitir que un atacante remoto no autenticado lance ataques de denegación de servicio (DoS).
Además, tres de los avisos están relacionados con los módulos de NGINX y describen vulnerabilidades que pueden permitir que un atacante local provoque la finalización de un proceso de trabajo de NGINX.
También se ha asignado una calificación de “gravedad alta” a una vulnerabilidad de F5OS que se puede explotar para escalar privilegios.
Las próximas actualizaciones trimestrales de F5 están programadas para el 1 de febrero de 2023. Las dos notificaciones trimestrales anteriores, publicadas en mayo y agosto , informaron a los clientes sobre 50 y 21 vulnerabilidades, respectivamente.
Los usuarios de BIG-IP no deben ignorar estos parches, ya que se sabe que los actores de amenazas apuntan a las vulnerabilidades que afectan al producto. El ejemplo más reciente es CVE-2022-1388, que experimentó una explotación masiva a principios de este año, y algunos hackers lo aprovecharon para destruir dispositivos BIG-IP.
Fuente: https://www.securityweek.com/dozen-high-severity-vulnerabilities-patched-f5-products
Entusiasta de la seguridad cibernética. Especialista en seguridad de la información, actualmente trabajando como especialista en infraestructura de riesgos e investigador.
Experiencia en procesos de riesgo y control, soporte de auditoría de seguridad, diseño y soporte de COB (continuidad del negocio), gestión de grupos de trabajo y estándares de seguridad de la información.