Михаил Ключников, специалист Positive Technologies, нашел серьезную уязвимость в конфигурационном интерфейсе распространенного контроллера доставки приложений BIG-IP. За счет эксплуатации найденной уязвимости киберпреступники могли выполнять команды, будучи неавторизованными пользователями, а также перехватывать веб-трафик, которым управляет BIP-IP.
Найденной уязвимости была присуждена оценка 10 по CVSS, что свидетельствует о максимальной степени опасности проблемы. Чтобы эксплуатировать уязвимость, хакеру необходимо было отправить определенный http-запрос на сервер с TMUI.
Сам Михаил Ключников прокомментировал находку: «Обнаруженная уязвимость позволяет киберпреступникам без прохождения проверки пользователя, но с доступом к утилите BIP-IP, исполнять код в ПО. Благодаря этому киберпреступник способен добавлять и стирать файлы, выключать службы, копировать данные, выполнять команды, исполнять JS-код, а также дальше развивать атаку на внутреннюю корпоративную сеть. Причиной возникновения этой уязвимости класса RCE становится комбинация минусов системы безопасности определенных системных компонентов».
Компания F5 Networks своевременно была оповещена об обнаруженной проблеме и практически сразу ее устранила. Также разработчик исправил еще одну уязвимость, которая также была найдена Михаилом Ключниковым – она получила оценку 7,5 (класс XSS). Баг мог быть использован киберпреступником для выполнения вредоносного JS-кода от имени авторизованного пользователя. Если хакер получал доступ к учетной записи администратора, то успех в эксплуатации данной уязвимости мог стать причиной полноценной компрометации системы BIP-IP с помощью дистанционно исполненного кода. В специальном сообщении от F5 Networks даны рекомендации по устранению проблемы.
Уязвимости из группы RCE считаются одними из наиболее опасных киберугроз по классификации OWASP. Возможность дистанционного исполнения вредоносного кода на сервере всегда будет приводить к взлому портала.