Deux vulnérabilités de criticité moyenne ont été corrigées sur plusieurs produits BIG-IP de F5

Vue d’ensemble

Deux vulnérabilités, de criticité moyenne, ont été corrigées sur plusieurs produits faisant partie de la famille de produits BIG-IP de F5. Elles permettent, pour l’une, de contourner la politique de sécurité afin de mener des attaques de type homme du milieu, pour l’autre, d’injecter du script web à distance.

Vue détaillée

Deux références CVEs ont été attribuées à ces vulnérabilités:  

CVE-2017-6142 : Pour une vulnérabilité qui n’a été détectée jusqu’à présent que pour quelques versions BIG-IP AFM (cf. section composant et versions vulnérables). Elle peut permettre de mener des attaques de type homme du milieu. Ceci est lié à l’incapacité des systèmes vulnérables à valider correctement l'identité des serveurs distants. En effet, la vérification du certificat X509 implémentée dans la fonction "ID utilisateur" d'accès anticipé dans BIG-IP Advanced Firewall Manager ne se faisait pas correctement, ce qui induisait la mauvaise validation de l'identité des serveurs distants.

CVE-2016-7469 : Pour une vulnérabilité d’injection de code à distance (XSS) sur une la page de changement de nom de périphérique de l'utilitaire de configuration BIG-IP. Elle permet à un utilisateur authentifié d'injecter un script Web arbitraire ou HTML. L'exploitation nécessite des privilèges d'administrateur de ressources ou d'administrateur, et peut rendre l'utilitaire de configuration instable.