Corpus Solutions Security Advisory: BIG-IP Client SSL vulnerability
10. 04. 2018
CVE-2018-5502
Verze: 1.0
Shrnutí
Virtuální servery, které povolují klientům autentizaci certifikátem, jsou náchylné k této zranitelnosti, která může vést k dočasnému nezpracovávání provozu. Zranitelný systém lze ochránit upgradem.
Popis
Útočníci mohou být schopni narušit služby poskytované BIG-IP systémem. Toho docílí pomocí speciálně formátovaného klientského certifikátu. Zranitelnost se týká virtuálních serverů s profilem Client SSL, který povoluje autentizaci právě pomocí klientských certifikátů. Tato forma autentizace není defaultně povolena v Client SSL profilu. Žádné řídící funkce systému nejsou ovlivněny.
Dopad
Systém BIG-IP může dočasně selhat při zpracování provozu v důsledku restartování Traffic Management Microkernel (TTM). Dále zařízení nakonfigurována jako HA mohou selhat.
Zranitelné produkty
Zranitelné jsou pouze následující produkty ve verzích 13.0.0 a 13.1.0:
- BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, Edge Gateway, GTM, Link Controller, PEM, WebAccelerator, WebSafe). A to pouze se zapnutým profilem Client SSL.
Ostatní produkty zranitelné nejsou.
Řešení
Jednoznačným řešením je upgrade na verzi 13.0.1 a vyšší (v případě verze 13.0.0), nebo na verzi 13.1.0.4 a vyšší (v případě verze 13.1.0).
Tip: všechny Security Advisory od Corpus Solutions můžete odebírat jako RSS kanál 