Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] F5 opravuje 9 zranitelností v různých produktech
F5 opravuje 9 zranitelností v produktech BIG-IP, BIG-IP Next Central Manager, BIG-IP Next SPK a BIG-IP Next CNF [1][2][3][4][5]. Nejzávažnější zranitelnosti jsou uvedeny níže. Jednotlivé produkty a jejich opravené verze: BIG-IP (všechny moduly) - 17.1.1, 16.1.5 [3][4][5] BIG-IP Next Central Manager - 20.2.1 [1][2] BIG-IP Next SPK - 1.9.0 [5] BIG-IP Next CNF - 1.2.0 [5]
Neautentizovanému vzdálenému útočníkovi je v BIG-IP Next Central Manager za určitých okolností umožněno vydávat se za jiného uživatele využitím starého tokenu relace [1].
Zranitelnost se nachází v produktu:
- BIG-IP Next Central Manager; >=20.1, <20.2;
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-39809 na cve.org, NVD
- CWE-613: Insufficient Session Expiration na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 8. 2024.
Neautentizovanému vzdálenému útočníkovi je v BIG-IP Next Central Manager za určitých okolností umožněno blokovat přístup do cizích účtů [2].
Zranitelnost se nachází v produktu:
- BIG-IP Next Central Manager; >=20.1, <20.2.1;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Více informací:
- CVE-2024-37028 na cve.org, NVD
- CWE-645: Overly Restrictive Account Lockout Mechanism na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 8. 2024.
Neautentizovanému vzdálenému útočníkovi je v BIG-IP umožněno provést DoS útok. Zranitelnost je zneužitelná pouze v případě, že je na stroji nakonfigurován bezstavový virtuální server společně s HSB (High-Speed Bridge) [3].
Zranitelnost se nachází v produktu:
- BIG-IP; >=15.1, <16.1.5; >=17.1, <17.1.1;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2024-39778 na cve.org, NVD
- CWE-400: Uncontrolled Resource Consumption na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 8. 2024.
Neautentizovanému vzdálenému útočníkovi je v BIG-IP umožněno provést DoS útok. Zranitelnost je zneužitelná pouze v případě, že BIG-IP běží na hardwaru ze sérií r2000 nebo r4000, případně že virtuální verze BIG-IP využívá Intel E810 SR-IOV NIC [4].
Zranitelnost se nachází v produktu:
- BIG-IP; >=15.1.0, <=15.1.10; >=16.1.0, <16.1.5;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2024-41727 na cve.org, NVD
- CWE-400: Uncontrolled Resource Consumption. na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 8. 2024.
Neautentizovanému vzdálenému útočníkovi je v BIG-IP a BIG-IP Next (SPK, CNF) za určitých okolností umožněno provést DoS útok. Zranitelnost je zneužitelná pouze v případě, že BIG-IP běží na virtuálním serveru, který je nakonfigurován tak, aby využíval vícecestný protokol TCP [5].
Zranitelnost se nachází v produktech:
- BIG-IP Next SPK; >=1.7, <1.9;
- BIG-IP Next CNF; >=1.1, <1.2;
- BIG-IP; >=15.1, <15.1.10; >=16.1, <16.1.5; >=17.1, <17.1.1;
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2024-41164 na cve.org, NVD
- CWE-476: NULL Pointer Dereference na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 8. 2024.
Odkazy
Za CESNET, z.s.p.o. Martin Krajči dne 22. 8. 2024.