CVE-2022-1388
F5 BIG-IP Missing Authentication Vulnerability
Beschreibung
CVE-2022-1388 ist eine kritische Authentifizierungsumgehungs-Schwachstelle in F5 BIG-IP, die nicht authentifizierte Remote-Code-Ausführung, Dateierstellung oder -löschung und Dienstunterbrechung ermöglicht. Die Schwachstelle besteht aufgrund einer fehlenden Authentifizierungsprüfung in einer kritischen Funktion der iControl-REST-API, die Angreifern ermöglicht, die Authentifizierung vollständig zu umgehen und beliebige Systembefehle mit Root-Privilegien auszuführen. CISA hat die aktive Ausnutzung bestätigt und CVE-2022-1388 in den Known Exploited Vulnerabilities Katalog mit einer bekannten Ransomware-Verbindung aufgenommen. Mit einem EPSS-Perzentil von 99,99 % gehört diese Schwachstelle zu den am aktivsten ausgenutzten Netzwerkinfrastruktur-Schwachstellen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| f5 | big-ip access policy manager | >= 11.6.1, <= 11.6.5; >= 12.1.0, <= 12.1.6; >= 13.1.0, < 13.1.5; >= 14.1.0, < 14.1.4.6; >= 15.1.0, < 15.1.5.1; >= 16.1.0, < 16.1.2.2 |
| f5 | big-ip advanced firewall manager | >= 11.6.1, <= 11.6.5; >= 12.1.0, <= 12.1.6; >= 13.1.0, < 13.1.5; >= 14.1.0, < 14.1.4.6; >= 15.1.0, < 15.1.5.1; >= 16.1.0, < 16.1.2.2 |
| f5 | big-ip analytics | >= 11.6.1, <= 11.6.5; >= 12.1.0, <= 12.1.6; >= 13.1.0, < 13.1.5; >= 14.1.0, < 14.1.4.6; >= 15.1.0, < 15.1.5.1; >= 16.1.0, < 16.1.2.2 |
| f5 | big-ip application acceleration manager | >= 11.6.1, <= 11.6.5; >= 12.1.0, <= 12.1.6; >= 13.1.0, < 13.1.5; >= 14.1.0, < 14.1.4.6; >= 15.1.0, < 15.1.5.1; >= 16.1.0, < 16.1.2.2 |
| f5 | big-ip application security manager | >= 11.6.1, <= 11.6.5; >= 12.1.0, <= 12.1.6; >= 13.1.0, < 13.1.5; >= 14.1.0, < 14.1.4.6; >= 15.1.0, < 15.1.5.1; >= 16.1.0, < 16.1.2.2 |
| f5 | big-ip domain name system | >= 11.6.1, <= 11.6.5; >= 12.1.0, <= 12.1.6; >= 13.1.0, < 13.1.5; >= 14.1.0, < 14.1.4.6; >= 15.1.0, < 15.1.5.1; >= 16.1.0, < 16.1.2.2 |
| f5 | big-ip fraud protection service | >= 11.6.1, <= 11.6.5; >= 12.1.0, <= 12.1.6; >= 13.1.0, < 13.1.5; >= 14.1.0, < 14.1.4.6; >= 15.1.0, < 15.1.5.1; >= 16.1.0, < 16.1.2.2 |
| f5 | big-ip global traffic manager | >= 11.6.1, <= 11.6.5; >= 12.1.0, <= 12.1.6; >= 13.1.0, < 13.1.5; >= 14.1.0, < 14.1.4.6; >= 15.1.0, < 15.1.5.1; >= 16.1.0, < 16.1.2.2 |
| f5 | big-ip link controller | >= 11.6.1, <= 11.6.5; >= 12.1.0, <= 12.1.6; >= 13.1.0, < 13.1.5; >= 14.1.0, < 14.1.4.6; >= 15.1.0, < 15.1.5.1; >= 16.1.0, < 16.1.2.2 |
| f5 | big-ip local traffic manager | >= 11.6.1, <= 11.6.5; >= 12.1.0, <= 12.1.6; >= 13.1.0, < 13.1.5; >= 14.1.0, < 14.1.4.6; >= 15.1.0, < 15.1.5.1; >= 16.1.0, < 16.1.2.2 |
| f5 | big-ip policy enforcement manager | >= 11.6.1, <= 11.6.5; >= 12.1.0, <= 12.1.6; >= 13.1.0, < 13.1.5; >= 14.1.0, < 14.1.4.6; >= 15.1.0, < 15.1.5.1; >= 16.1.0, < 16.1.2.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/167007/F5-BIG-IP-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/167118/F5-BIG-IP-16.0.x-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/167150/F5-BIG-IP-iControl-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://support.f5.com/csp/article/K23605346(Mitigation, Vendor Advisory)
- https://www.secpod.com/blog/critical-f5-big-ip-remote-code-execution-vulnerability-patch-now/(Exploit, Mitigation, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-1388(US Government Resource)
Schwachstellentyp
CWE-306: Fehlende Authentifizierung für kritische Funktion
CWE-306 beschreibt eine Schwachstelle, bei der ein Produkt keine Authentifizierung für Funktionalität durchführt, die eine nachweisbare Benutzeridentität erfordert. Bei CVE-2022-1388 versagt F5 BIG-IPs iControl-REST-API bei der Durchsetzung der Authentifizierung auf einer kritischen Verwaltungsfunktion, was jedem netzwerkerreichbaren Angreifer ermöglicht, administrative Befehle ohne gültige Anmeldedaten auszuführen.
Weitere Informationen: CWE-306 — Missing Authentication for Critical Function
Auswirkungsanalyse
CVE-2022-1388 ist eine Schwachstelle mit fehlender Authentifizierung in F5 BIG-IP, die nicht authentifizierte Remote-Code-Ausführung mit Root-Privilegien ermöglicht. Die Schwachstelle ist ohne jegliche Authentifizierung, besondere Privilegien oder Benutzerinteraktion vom Netzwerk aus ausnutzbar. F5 BIG-IP wird in Unternehmensumgebungen weitverbreitet als Load Balancer, SSL-Terminator und Application Delivery Controller eingesetzt, oft an kritischen Netzwerkknoten positioniert. Eine erfolgreiche Ausnutzung ermöglicht die Ausführung beliebiger Systembefehle mit Root-Zugang, das Erstellen oder Löschen von Dateien und das Pivotieren in das interne Netzwerk. Das EPSS-Perzentil von 99,99 % bestätigt nahezu sichere Ausnutzungsaktivität. Die bestätigte Ransomware-Verbindung im CISA KEV-Katalog eskaliert die Bedrohung weiter — Ransomware-Betreiber nutzen kompromittierte BIG-IP-Geräte, um tiefen Netzwerkzugang für die Bereitstellung von Ransomware im gesamten Unternehmen zu erlangen. Die Kompromittierung eines BIG-IP-Geräts ist besonders verheerend, da es Einblick in und Kontrolle über den gesamten durchfließenden Verkehr einschließlich potenziell entschlüsseltem HTTPS-Verkehr bietet.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2022-1388 bestätigt und die Schwachstelle in den Known Exploited Vulnerabilities Katalog mit einer Behebungsfrist bis zum 31. Mai 2022 aufgenommen — ein ungewöhnlich kurzer Zeitrahmen, der die extreme Dringlichkeit widerspiegelt. Der KEV-Katalog kennzeichnet diese Schwachstelle mit einer bekannten Ransomware-Verbindung. Das EPSS-Perzentil von 99,99 % platziert sie unter den am häufigsten ausgenutzten Schwachstellen überhaupt. Öffentlicher Proof-of-Concept-Exploit-Code wurde innerhalb von Tagen nach der Offenlegung veröffentlicht, und Massenausnutzungskampagnen wurden fast unmittelbar beobachtet. Der Exploit ist trivial einfach — eine einzige HTTP-Anfrage mit einer bestimmten Header-Manipulation umgeht die iControl-REST-API-Authentifizierung und ermöglicht die nicht authentifizierte Ausführung beliebiger Bash-Befehle als Root.
Behebung
- Aktualisieren Sie F5 BIG-IP auf eine Version, die den Fix für CVE-2022-1388 enthält, wie in F5s Sicherheitsempfehlung angegeben. CISA verlangt eine Behebung bis zum 31. Mai 2022.
- Falls sofortiges Patching nicht möglich ist, wenden Sie F5s empfohlene Mitigationen an: blockieren Sie den iControl-REST-Zugriff über die Self-IP-Adresse, blockieren Sie den iControl-REST-Zugriff über die Management-Oberfläche und ändern Sie die BIG-IP-httpd-Konfiguration.
- Exponieren Sie die BIG-IP-Management-Oberfläche oder die iControl-REST-API niemals im öffentlichen Internet. Beschränken Sie den Management-Zugang auf ein dediziertes Management-Netzwerksegment.
- Überprüfen Sie BIG-IP-Protokolle auf Indikatoren für Ausnutzung, einschließlich nicht autorisierter Befehlsausführung, unerwarteter Dateierstellung oder -löschung und ungewöhnlicher iControl-REST-API-Aktivität.
- Bei Verdacht auf Kompromittierung behandeln Sie das BIG-IP-Gerät als vollständig kompromittiert — erstellen Sie es aus einem bekannt guten Image neu, rotieren Sie alle auf dem Gerät gespeicherten Anmeldedaten und überprüfen Sie alle Verkehrskonfigurationen auf nicht autorisierte Änderungen.
Technische Details
CVE-2022-1388 nutzt eine kritische Authentifizierungsumgehung in F5 BIG-IPs iControl-REST-API aus, der primären programmatischen Verwaltungsschnittstelle für BIG-IP-Geräte. Die Schwachstelle besteht, weil die iControl-REST-API die Authentifizierung nicht ordnungsgemäß durchsetzt, wenn Anfragen eine bestimmte Kombination von HTTP-Headern enthalten, die die Authentifizierungsprüfung überspringen lassen. Durch Manipulation der Connection- und X-F5-Auth-Token-Header in einer HTTP-Anfrage an den iControl-REST-API-Endpunkt kann ein Angreifer die Anfrage dazu bringen, die normale Authentifizierungs-Pipeline vollständig zu umgehen. Nach Umgehung der Authentifizierung kann der Angreifer den /mgmt/tm/util/bash-Endpunkt aufrufen, um beliebige Bash-Befehle mit Root-Privilegien auszuführen. Die Grundursache hängt damit zusammen, wie die Apache-Reverse-Proxy-Konfiguration auf BIG-IP bestimmte Hop-by-Hop-Header behandelt. Der Angriff erfordert nur eine einzige HTTP-Anfrage und kein vorheriges Wissen über Anmeldedaten.
Häufig gestellte Fragen
Wird CVE-2022-1388 aktiv ausgenutzt?
Ja, CVE-2022-1388 wird massenhaft ausgenutzt, mit bestätigter Ransomware-Verbindung. CISA hat die Schwachstelle in den KEV-Katalog mit einer dringenden Frist im Mai 2022 aufgenommen, und das EPSS-Perzentil von 99,99 % bestätigt, dass sie zu den am häufigsten ausgenutzten Schwachstellen gehört.
Welche Produkte sind von CVE-2022-1388 betroffen?
CVE-2022-1388 betrifft F5-BIG-IP-Geräte über mehrere Produktversionen hinweg. Die Schwachstelle befindet sich in der iControl-REST-API, die auf allen BIG-IP-Plattformen vorhanden ist. Konsultieren Sie F5s Sicherheitsempfehlung für die spezifischen betroffenen Versionen.
Wie behebe ich CVE-2022-1388?
Aktualisieren Sie F5 BIG-IP umgehend auf die gepatchte Version. Falls das Patching verzögert wird, wenden Sie F5s empfohlene Mitigationen an. Exponieren Sie die Management-Oberfläche niemals im öffentlichen Internet. Bei Verdacht auf Kompromittierung erstellen Sie das Gerät aus einem bekannt guten Image neu.
Wie schwerwiegend ist CVE-2022-1388?
CVE-2022-1388 ist eine kritische Authentifizierungsumgehung mit einem EPSS-Perzentil von 99,99 % und bestätigter Ransomware-Verbindung. Sie ermöglicht nicht authentifizierte Root-Level-Befehlsausführung auf BIG-IP-Geräten, die als kritische Netzwerkinfrastruktur dienen. Eine Kompromittierung ermöglicht vollständiges Abfangen des Netzwerkverkehrs und laterale Bewegung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.