F5 parchea nueve vulnerabilidades | DKCERT

La empresa de seguridad y entrega de aplicaciones F5 ha anunciado la publicación de correcciones para nueve vulnerabilidades como parte de su anuncio de seguridad trimestral de agosto de 2024.

Eso es lo que escribe Security Week.

La vulnerabilidad más grave radica en BIG-IP Next Central Manager, que es un error de caducidad de sesión insuficiente. El error existe porque el token de actualización de la sesión del usuario no caduca al cerrar sesión. La vulnerabilidad tiene el ID CVE-2024-39809 y una puntuación de 8,9.

En su aviso, F5 escribe que un atacante con acceso para obtener las cookies de sesión de un usuario puede continuar usando esa sesión para acceder a BIG-IP Next Central Manager y a los sistemas administrados por BIG-IP Next Central Manager después de que el usuario cierre la sesión.

La falla de seguridad afecta a la versión 20.1.0 de BIG-IP Next Central Manager y se solucionó con el lanzamiento de la versión 20.2.0.

Security Week escribe que los usuarios que no puedan implementar el parche pueden mitigar la vulnerabilidad restringiendo el acceso administrativo solo a usuarios y dispositivos confiables, cerrando sesión y cerrando todas las instancias del navegador web después de usar la webUI y usando navegadores separados para administrar la webUI. y otros propósitos.

Entre los otros errores, hay un foco en CVE-2024-39778, que tiene una puntuación de 8,7. Es una debilidad de implementación en BIG-IP que hace que los servidores virtuales ya no procesen las conexiones de los clientes y que el Microkernel de gestión de tráfico (TMM) se detenga en servidores virtuales sin estado configurados con un Puente de alta velocidad (HSB).

Este error afecta a las versiones 15.x, 16.x y 17.x de BIG-IP y se solucionó con el lanzamiento de las versiones 16.1.5 y 17.1.1.

Campo de golf:

https://my.f5.com/manage/s/article/K05710614

https://www.securityweek.com/f5-patches-high-severity-vulnerabilities-in…