[Информационная безопасность, IT-инфраструктура] 7 критических уязвимостей в F5 BIG-IP и F5 BIG-IQ. Как обезопасить ваши сетевые устройства?
Автор
Сообщение
news_bot ®
Стаж: 6 лет 9 месяцев
Сообщений: 27286
10 марта F5 анонсировали миру о новых уязвимостях в устройствах BIG-IP и BIG-IQ: удаленного исполнения команд в интерфейсе iControl REST и Traffic Management Interface, и две уязвимости переполнения буфера. Шесть из семи перечисленных уязвимостей получили балл критичности 8.0 или выше в системе оценки уязвимостей CVSS.Уязвимости:K03009991: iControl REST unauthenticated remote command execution vulnerability CVE-2021-22986K18132488: Appliance Mode TMUI authenticated remote command execution vulnerability CVE-2021-22987K70031188: TMUI authenticated remote command execution vulnerability CVE-2021-22988K56142644: Appliance mode Advanced WAF/ASM TMUI authenticated remote command execution vulnerability CVE-2021-22989K45056101: Advanced WAF/ASM TMUI authenticated remote command execution vulnerability CVE-2021-22990касаются Management GUI F5 и не могут быть полностью устранены без обновления. Те, кто имеет доступ к GUI консоли управления F5 через Management или self IP интерфейсы, например, по причине их открытого доступа извне, или изнутри защищенной сети, потенциально могут реализовать данные уязвимости. Угрозу извне можно уменьшить, предоставляя доступ к Management интерфейсу только внутренним сотрудникам, а на self IP интерфейсах использовать параметр доступа "Allow None" или "Allow Custom" без разрешения доступа по порту 443. Следующие уязвимости:K56715231: TMM buffer-overflow vulnerability CVE-2021-22991K52510511: Advanced WAF/ASM buffer-overflow vulnerability CVE-2021-22992касаются Data Plane и могут быть реализованы через пользовательские запросы к сервисам, находящимся за F5. Уязвимость AWAF/ASM может быть закрыта применением iRule, указанным в статье, в то время как уязвимость TMM buffer overflow не имеет плана устранения без обновления к версии с патчем. Патчи доступны для всех семи «пробоин» для BIG-IP версий 16.0.1.1, 15.1.2.1, 14.1.4, 13.1.3.6, 12.1.5.3 и 11.6.5.3. Уязвимость iControl REST также влияет на BIG-IQ, и патчи доступны для версий 8.0.0, 7.1.0.3 и 7.0.0.2. Самый быстрый и доступный способ обезопасить ваши сетевые устройства – обновить ПО BIG-IP и BIG-IQ. Подготовка и обновление F5 пошагово: 1. Определение совместимости версии ПО F5 c имеющейся системой. Определите версии программного обеспечения, поддерживаемые вашей платформой в зависимости от типа: 1. Для аппаратных платформ: https://support.f5.com/csp/article/K9476 2. Для оборудования с vCMP: https://support.f5.com/csp/article/K14088 3. Для виртуальных устройств: https://clouddocs.f5.com/cloud/public/v1/matrix.html Как узнать модель устройства? · Открыть веб интерфейс управления F5 · Пункт меню Device Management > Devices · Нажмите на название Вашего устройства с подписью (Self) · Поле Platform Name представляет модель устройства: 
Также можно использовать CLI команду: tmsh show /sys hardware 
2. Определение совместимости конфигурации с новой версией ПО 1. Ознакомьтесь с изменениями в новой версии ПО. Найдите статью аналогичную “BIG-IP X.X.X New and Installation”, например: BIG-IP 16.0.0 New and Installation, https://techdocs.f5.com/kb/en-us/products/big-ip_ltm/releasenotes/product/relnote-bigip-16-0-0.html Узнайте со статьи о расширении и сокращении функционала F5. 2. Проанализируйте изменения в профилях по умолчанию, которые используются на Вашей системе в новой версии ПО (TCP profile, HTTP profile, clientssl/serverssl pofile…) 3. Обновление F5, когда используется оборудование c vCMP. 1. Выбрать устройство и подготовить к его обновлению; 2. Перевод выбранного устройства в Standby режим; 3. Необходимо поочередно выключить все vCMP на шасси; 4. Обновить шасси. После обновления vCMP не включать; 5. Включить VCMP #1 и полностью обновить его; 6. Включить VCMP #2 и полностью обновить его; 7. ... Чтобы избежать ситуации, когда во время установки обновления "что-то пойдет не так" — обновляйте одновременно только один vCMP за раз во время наименьшей нагрузки на сервисы, так как потребуется переключение ролей кластера. Обновление каждого F5 занимает от 10-ти до 40-ка минут. Нужно учитывать это при планировании работ. Схема обновления одного устройства vCMP: 1. Обновление происходит на Standby шасси. 2. Первым делом обновляется шасси, проводится проверка системы, и только после этого — по одному обновляется каждый vCMP. 3. Обязательно поставить ручной режим синхронизации настроек кластера на шасси и на каждой паре vCMP. 4. Сначала проводится обновление одного F5 и только потом второго. 4. Общие этапы обновления F5 1. Загрузите iso образ нужной версии. 2. Перед проведением процесса обновления рекомендуется для начала проверить целостность текущей конфигурации, используя команду:
tmsh load /sys config verify
Система не должна возвращать никаких ошибок. 3. Далее необходимо создать UCS архив конфигурации BIG-IP и сохранить его в безопасном удаленном месте на случай, если это потребуется для восстановления.
В случае vCMP-устройства, создайте архив UCS для шасси и каждой гостевой vCMP и поместите на удаленное хранилище файлов:
System > Archives > Create
Случае возникновения непредвиденной ситуации у Вас будет резервная копия, с которой можно будет восстановить систему. 4. Импортируйте на обоих нодах предварительно загруженный ISO-образ системы:
Software Management > Image List > Import 5. Обязательно перевести синхронизацию кластера каждой из vCMP пары и хоста в MANUAL режим и проводить обновление только на STANDBY ноде. Далее установить состояние “Force offline” для Standby ноды:
Device Management > Devices > выбрать то устройство, которое будет обновляться > Force offline 6. Убедиться, что обновляемое устройство передало трафик/запросы второму устройству в кластере. 7. После этого можно устанавливать обновление на отдельный boot location (выбирать неактивный boot location). 8. Важно не забыть загрузить конфигурацию системы на новый boot location во время обновления:
”Install Configuration” параметр выбрать “Yes”. 9. После того, как обновленная версия будет установлена, необходимо загрузить систему с нового boot location`a со свежей ОС F5 10. Проверить, что она работает без ошибок и подтянулась конфигурация. Возможна ошибка синхронизации в момент, когда Вы обновили только одно устройство F5 “новой” версии, а второе еще на “старой”.
Кластер отработает, но синхронизация конфигураций не будет работать. После обновления второй ноды кластера синхронизация возобновится сама. 11. Если система не выдает других ошибок, то можно вывести её из состояния “Force offline”:
Device Management > Devices > обновленная нода > Release offline В случае проблем – перезагрузка устройства на "старый" boot location. При этой перезагрузке нужно активировать ранее используемый Boot Location выбрав “Install configuration — No” так как исходная конфигурация уже находится на нем. После успешного обновления F5 необходимо провести тест переключения кластера и во всех обновленных кластерах вернуть режим синхронизации MANUAL в изначальное значение.Если вам нужна помощь с проведением вышеуказанных операций, пишите нам на почту F5support@bakotech.com. Инженеры технической поддержки F5 | BAKOTECH обязательно вам помогут.
===========
Источник:
habr.com
===========
Похожие новости:
- [Тестирование IT-систем, IT-инфраструктура, Тестирование веб-сервисов, Тестирование мобильных приложений, Тестирование игр] Самый полный список метрик тестирования на русском языке
- [Тестирование IT-систем, Системное администрирование, IT-инфраструктура, Тестирование веб-сервисов] Мониторинг производительности приложений и метрики здоровья без APM
- [Информационная безопасность, Платежные системы, API, Финансы в IT] API Revolut банка
- [Информационная безопасность, Open source, Системное администрирование, GitHub, Разработка под Linux] Эксперты обнаружили критическую уязвимость в подсистеме iSCSI ядра Linux, баг в коде был с 2006 года
- [Информационная безопасность, IT-инфраструктура] Краткий Best practice построения кластерных решений F5
- [Информационная безопасность, Google Chrome, Браузеры] Вышло обновление Chrome 89.0.4389.90 с устранением 0-day уязвимости
- [Информационная безопасность, Системное администрирование, 1С] Приключения персональных данных в России. Как стоматология защитила персональные данные
- [Информационная безопасность, Лайфхаки для гиков] Взрослый разговор о пентесте и хакинге
- [Информационная безопасность, Системное администрирование, IT-компании] Microsoft подтвердила проблемы с мартовскими обновлениями для различных версий Windows 10
- [Информационная безопасность, Игры и игровые приставки] Кибермошенничество: как геймеры могут защитить себя от фишинга и похищения аккаунтов (перевод)
Теги для поиска: #_informatsionnaja_bezopasnost (Информационная безопасность), #_itinfrastruktura (IT-инфраструктура), #_f5, #_f5_bigip, #_f5_bigiq, #_ujazvimosti (уязвимости), #_patchi (патчи), #_instruktsija (инструкция), #_obnovlenie_po (обновление по), #_informatsionnaja_bezopasnost (
Информационная безопасность
), #_itinfrastruktura (
IT-инфраструктура
)
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 24-Ноя 22:53
Часовой пояс: UTC + 5
| Автор | Сообщение |
|---|---|
|
news_bot ®
Стаж: 6 лет 9 месяцев |
|
|
10 марта F5 анонсировали миру о новых уязвимостях в устройствах BIG-IP и BIG-IQ: удаленного исполнения команд в интерфейсе iControl REST и Traffic Management Interface, и две уязвимости переполнения буфера. Шесть из семи перечисленных уязвимостей получили балл критичности 8.0 или выше в системе оценки уязвимостей CVSS.Уязвимости:K03009991: iControl REST unauthenticated remote command execution vulnerability CVE-2021-22986K18132488: Appliance Mode TMUI authenticated remote command execution vulnerability CVE-2021-22987K70031188: TMUI authenticated remote command execution vulnerability CVE-2021-22988K56142644: Appliance mode Advanced WAF/ASM TMUI authenticated remote command execution vulnerability CVE-2021-22989K45056101: Advanced WAF/ASM TMUI authenticated remote command execution vulnerability CVE-2021-22990касаются Management GUI F5 и не могут быть полностью устранены без обновления. Те, кто имеет доступ к GUI консоли управления F5 через Management или self IP интерфейсы, например, по причине их открытого доступа извне, или изнутри защищенной сети, потенциально могут реализовать данные уязвимости. Угрозу извне можно уменьшить, предоставляя доступ к Management интерфейсу только внутренним сотрудникам, а на self IP интерфейсах использовать параметр доступа "Allow None" или "Allow Custom" без разрешения доступа по порту 443. Следующие уязвимости:K56715231: TMM buffer-overflow vulnerability CVE-2021-22991K52510511: Advanced WAF/ASM buffer-overflow vulnerability CVE-2021-22992касаются Data Plane и могут быть реализованы через пользовательские запросы к сервисам, находящимся за F5. Уязвимость AWAF/ASM может быть закрыта применением iRule, указанным в статье, в то время как уязвимость TMM buffer overflow не имеет плана устранения без обновления к версии с патчем. Патчи доступны для всех семи «пробоин» для BIG-IP версий 16.0.1.1, 15.1.2.1, 14.1.4, 13.1.3.6, 12.1.5.3 и 11.6.5.3. Уязвимость iControl REST также влияет на BIG-IQ, и патчи доступны для версий 8.0.0, 7.1.0.3 и 7.0.0.2. Самый быстрый и доступный способ обезопасить ваши сетевые устройства – обновить ПО BIG-IP и BIG-IQ. Подготовка и обновление F5 пошагово: 1. Определение совместимости версии ПО F5 c имеющейся системой. Определите версии программного обеспечения, поддерживаемые вашей платформой в зависимости от типа: 1. Для аппаратных платформ: https://support.f5.com/csp/article/K9476 2. Для оборудования с vCMP: https://support.f5.com/csp/article/K14088 3. Для виртуальных устройств: https://clouddocs.f5.com/cloud/public/v1/matrix.html Как узнать модель устройства? · Открыть веб интерфейс управления F5 · Пункт меню Device Management > Devices · Нажмите на название Вашего устройства с подписью (Self) · Поле Platform Name представляет модель устройства:  Также можно использовать CLI команду: tmsh show /sys hardware  2. Определение совместимости конфигурации с новой версией ПО 1. Ознакомьтесь с изменениями в новой версии ПО. Найдите статью аналогичную “BIG-IP X.X.X New and Installation”, например: BIG-IP 16.0.0 New and Installation, https://techdocs.f5.com/kb/en-us/products/big-ip_ltm/releasenotes/product/relnote-bigip-16-0-0.html Узнайте со статьи о расширении и сокращении функционала F5. 2. Проанализируйте изменения в профилях по умолчанию, которые используются на Вашей системе в новой версии ПО (TCP profile, HTTP profile, clientssl/serverssl pofile…) 3. Обновление F5, когда используется оборудование c vCMP. 1. Выбрать устройство и подготовить к его обновлению; 2. Перевод выбранного устройства в Standby режим; 3. Необходимо поочередно выключить все vCMP на шасси; 4. Обновить шасси. После обновления vCMP не включать; 5. Включить VCMP #1 и полностью обновить его; 6. Включить VCMP #2 и полностью обновить его; 7. ... Чтобы избежать ситуации, когда во время установки обновления "что-то пойдет не так" — обновляйте одновременно только один vCMP за раз во время наименьшей нагрузки на сервисы, так как потребуется переключение ролей кластера. Обновление каждого F5 занимает от 10-ти до 40-ка минут. Нужно учитывать это при планировании работ. Схема обновления одного устройства vCMP: 1. Обновление происходит на Standby шасси. 2. Первым делом обновляется шасси, проводится проверка системы, и только после этого — по одному обновляется каждый vCMP. 3. Обязательно поставить ручной режим синхронизации настроек кластера на шасси и на каждой паре vCMP. 4. Сначала проводится обновление одного F5 и только потом второго. 4. Общие этапы обновления F5 1. Загрузите iso образ нужной версии. 2. Перед проведением процесса обновления рекомендуется для начала проверить целостность текущей конфигурации, используя команду: tmsh load /sys config verify Система не должна возвращать никаких ошибок. 3. Далее необходимо создать UCS архив конфигурации BIG-IP и сохранить его в безопасном удаленном месте на случай, если это потребуется для восстановления. В случае vCMP-устройства, создайте архив UCS для шасси и каждой гостевой vCMP и поместите на удаленное хранилище файлов: System > Archives > Create Случае возникновения непредвиденной ситуации у Вас будет резервная копия, с которой можно будет восстановить систему. 4. Импортируйте на обоих нодах предварительно загруженный ISO-образ системы: Software Management > Image List > Import 5. Обязательно перевести синхронизацию кластера каждой из vCMP пары и хоста в MANUAL режим и проводить обновление только на STANDBY ноде. Далее установить состояние “Force offline” для Standby ноды: Device Management > Devices > выбрать то устройство, которое будет обновляться > Force offline 6. Убедиться, что обновляемое устройство передало трафик/запросы второму устройству в кластере. 7. После этого можно устанавливать обновление на отдельный boot location (выбирать неактивный boot location). 8. Важно не забыть загрузить конфигурацию системы на новый boot location во время обновления: ”Install Configuration” параметр выбрать “Yes”. 9. После того, как обновленная версия будет установлена, необходимо загрузить систему с нового boot location`a со свежей ОС F5 10. Проверить, что она работает без ошибок и подтянулась конфигурация. Возможна ошибка синхронизации в момент, когда Вы обновили только одно устройство F5 “новой” версии, а второе еще на “старой”. Кластер отработает, но синхронизация конфигураций не будет работать. После обновления второй ноды кластера синхронизация возобновится сама. 11. Если система не выдает других ошибок, то можно вывести её из состояния “Force offline”: Device Management > Devices > обновленная нода > Release offline В случае проблем – перезагрузка устройства на "старый" boot location. При этой перезагрузке нужно активировать ранее используемый Boot Location выбрав “Install configuration — No” так как исходная конфигурация уже находится на нем. После успешного обновления F5 необходимо провести тест переключения кластера и во всех обновленных кластерах вернуть режим синхронизации MANUAL в изначальное значение.Если вам нужна помощь с проведением вышеуказанных операций, пишите нам на почту F5support@bakotech.com. Инженеры технической поддержки F5 | BAKOTECH обязательно вам помогут. =========== Источник: habr.com =========== Похожие новости:
Информационная безопасность ), #_itinfrastruktura ( IT-инфраструктура ) |
|
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 24-Ноя 22:53
Часовой пояс: UTC + 5