Casi 10 días después de que la empresa de seguridad de aplicaciones F5 Networks lanzara parches para vulnerabilidades críticas en sus productos BIG-IP y BIG-IQ, los adversarios comenzaron a escanear en masa de manera oportunista y apuntar a dispositivos de red expuestos y sin parches para ingresar a las redes empresariales.
La noticia del desarrollo de la explotación de esta vulnerabilidad en todo internet, llega inmediatamente después de un código de explotación de prueba de concepto que apareció en línea a principios de esta semana mediante la ingeniería inversa del parche de software Java en BIG-IP. Se dice que las exploraciones masivas se han disparado desde el 18 de marzo.
F5 BIG-IP iControl Unauthenticated Remote Command Execution (CVE-2021-22986) POC 😎#RCE #Exploit pic.twitter.com/87fvLVu74I
— Germán Fernández 🇨🇱 (@1ZRR4H) March 20, 2021
Las fallas afectan las versiones 11.6 o 12.xy más recientes de BIG-IP, con una ejecución de código remoto crítico (CVE-2021-22986) que también afecta las versiones 6.xy 7.x de BIG-IQ. CVE-2021-22986 (puntuación CVSS: 9,8) destaca por el hecho de que se trata de una vulnerabilidad de ejecución remota de comandos no autenticada que afecta a la interfaz REST de iControl, lo que permite a un atacante ejecutar comandos arbitrarios del sistema, crear o eliminar archivos y deshabilitar servicios sin el necesidad de cualquier autenticación.
La explotación exitosa de estas vulnerabilidades podría conducir a un compromiso total de los sistemas vulnerables, incluida la posibilidad de ejecución remota de código, así como desencadenar un desbordamiento del búfer, lo que provocaría un ataque de denegación de servicio (DoS).
Si bien F5 dijo que no tenía conocimiento de ninguna explotación pública de estos problemas el 10 de marzo, los investigadores del Grupo NCC dijeron que ahora han encontrado evidencia de "explotación de cadena completa de las vulnerabilidades de F5 BIG-IP / BIG-IQ iControl REST API CVE-2021-22986 "a raíz de múltiples intentos de explotación contra su infraestructura honeypot.
Además, el equipo de inteligencia de amenazas de la Unidad 42 de Palo Alto Networks dijo que encontró intentos de explotar CVE-2021-22986 para instalar una variante de la botnet Mirai. Pero no está claro de inmediato si esos ataques tuvieron éxito.
Dada la popularidad de BIG-IP / BIG-IQ en las redes corporativas y gubernamentales, no debería sorprender que esta sea la segunda vez en un año que los dispositivos F5 se han convertido en un objetivo lucrativo para la explotación.
