Amerikaanse overheid geeft noodbevel af voor installeren F5 BIG-IP-updates
De Amerikaanse overheid heeft een noodbevel afgegeven waarin federale overheidsinstanties worden opgedragen om beveiligingsupdates voor F5 BIG-IP-producten binnen een week te installeren en spreekt van een "directe dreiging". Aanleiding is een inbraak bij F5 waar aanvallers informatie over niet bekendgemaakte kwetsbaarheden en broncode wisten buit te maken. Naar aanleiding van de aanval kwam F5 met allerlei beveiligingsupdates. Het BIG-IP-platform van F5 wordt voor verschillende toepassingen gebruikt, zoals load balancing en application delivery.
De afgelopen jaren zijn kwetsbaarheden in BIG-IP geregeld het doelwit van aanvallen geweest. Vanwege de impact van gecompromitteerde BIP-IP-systemen heeft het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security een "emergency directive" afgegeven. Daarin stelt de overheidsdienst dat de aanvaller achter de inbraak bij F5 een "directe dreiging" voor federale overheidsnetwerken vormt. De gestolen informatie kan namelijk helpen bij het uitvoeren van aanvallen.
"Bij succesvol misbruik van de getroffen F5-producten kan een aanvaller toegang krijgen tot embedded credentials en Application Programming Interface (API) keys, zich lateraal binnen het organisatienetwerk bewegen, data stelen en persistente systeemtoegang krijgen. Dit kan tot het volledig compromitteren van informatiesystemen leiden", aldus het CISA. Het cyberagentschap stelt dat de situatie een "onacceptabel risico" voor overheidsdiensten vormt en er direct noodmaatregelen moeten worden getroffen.
Als onderdeel van de "emergency directive" moeten overheidsinstanties al hun F5-apparatuur in kaart brengen, voor 22 oktober de laatste beveiligingsupdates voor F5OS, BIG-IP TMOS, BIG-IQ en BNK/CNF installeren en genomen maatregelen aan het CISA rapporteren. Voor andere F5-producten moeten de laatste patches voor 31 oktober zijn geïnstalleerd.
En dit noem je dus een backdoor.
Als je pas met beveiligingsupdates voor lekken komt als je broncode is gelekt dan is daar maar één reden voor: het was tot die tijd nuttig voor deze of gene. Triest.
Zie vaker van dit soort reacties, waarbij ik moet concluderen dat men een erg beperkte view heeft op IT beheer en ontwikkeling.
Maar zoals altijd; "Niet Lullen Maar Patchen"
Maar zoals altijd; "Niet Lullen Maar Patchen"
BigIP software en reverse proxies worden vaak gebruikt voor valideren van externe toegang en zijn dus vaak public facing.
en in dit geval is het gelul niet om het niet willen patchen, maar lullen we over of F5 uberhaupt nog wel te vertrouwen is nu hun broncode buit is gemaakt
Maar zoals altijd; "Niet Lullen Maar Patchen"
BigIP software en reverse proxies worden vaak gebruikt voor valideren van externe toegang en zijn dus vaak public facing.
en in dit geval is het gelul niet om het niet willen patchen, maar lullen we over of F5 uberhaupt nog wel te vertrouwen is nu hun broncode buit is gemaakt
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Technical Consultant (IGA)
Maak impact als Technical Consultant bij SITS | Traxion! Ontwerp en implementeer slimme IGA-oplossingen en vertaal complexe vraagstukken naar veilige systemen. Werk samen met IAM-specialisten uit diverse disciplines en draag bij aan digitale veilig-heid. Van lokale tot internationale projecten: jij krijgt de kans om te groeien én de toe-komst van cybersecurity vorm te geven.
Cybersecurity Trainer / Full Stack Developer
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?