F5 waarschuwt organisaties voor verschillende kritieke kwetsbaarheden in het BIG-IP-platform waardoor ongeauthenticeerde aanvallers systemen op afstand kunnen overnemen. Vorig jaar werd een kritiek beveiligingslek in het platform nog op grote schaal door criminelen aangevallen.

Het BIG-IP-platform van F5 wordt voor verschillende toepassingen gebruikt, zoals load balancing en application delivery. F5 kwam gisteren met een beveiligingsbulletin voor BIG-IP waarmee zeven kwetsbaarheden worden verholpen, waarvan er vier als kritiek zijn aangemerkt. Twee kwetsbaarheden vallen daarbij op, namelijk CVE-2021-22986 en CVE-2021-22987.

CVE-2021-22986 betreft een beveiligingslek in de iControl REST-interface van BIG-IP en BIG-IQ waardoor een ongeauthenticeerde aanvaller op afstand code kan uitvoeren. De kwetsbaarheid is op een schaal van 1 tot en met 10 wat betreft de ernst met een 9,8 beoordeeld. Het andere beveiligingslek bevindt zich in de Traffic Management User Interface (TMUI) van BIG-IP en heeft een impactscore van 9,9. Deze kwetsbaarheid is echter alleen door een geauthenticeerde aanvaller te misbruiken.

Vanwege de ernst van de kwetsbaarheden adviseert F5 organisaties om de beveiligingsupdates zo snel mogelijk te installeren. De beveiligingslekken zijn verholpen in BIG-IP versies 16.0.1.1, 15.1.2.1, 14.1.4, 13.1.3.6, 12.1.5.3 en 11.6.5.3. Organisaties die van BIG-IQ gebruikmaken kunnen updaten naar versie 8.0.0, 7.1.0.3 en 7.0.0.2.