Censys analysiert Schwachstelle in BIG-IP: 1.124 exponierte Instanzen und 437.204 betroffene Geräte

Kürzlich wurde eine hochgradige Sicherheitslücke entdeckt, die die iControl REST-Schnittstelle und die TMOS Shell (tmsh)-Komponenten des Systems BIG-IP von F5 betrifft. Bei erfolgreicher Ausnutzung der Schwachstelle können authentifizierte Angreifer beliebige Systembefehle ausführen und so Zugriff auf die BIG-IP-Plattform auf Root-Ebene erlangen. Betroffen von der Sicherheitslücke sind die Versionen 17.1.0 bis 17.1.2, 16.1.0 bis 16.1.5 und 15.1.0 bis 15.1.10 von F5 BIG-IP aller Module.

Aktuell gibt es noch keine Hinweise auf eine aktive Ausnutzung der Sicherheitslücke. Ein öffentlich zugänglicher Proof of Concept (PoC) erhöht aber die Wahrscheinlichkeit, dass die Schwachstelle in Zukunft von Cyberangreifern ausgenutzt werden könnte. Der PoC demonstriert, wie ein Angreifer beliebige Systemfehler als root-Benutzer ausführen kann, wenn er sichmit einem Konto mit geringen Rechten – beispielsweise mit der Rolle Auditor – authentifiziert. Angreifer können die Schwachstelle mit Befehlen wie save ausnutzen, die sich dann mit erweiterten Rechten ausführen lassen. Dadurch kann der Angreifer Änderungen am System vornehmen.

Die Sicherheitslücke wurde vom Hersteller durch mehrere Versionen gepatcht. Zudem ist es empfehlenswert, dass Benutzer eine oder mehrere Gegenmaßnahmen implementieren, um den Zugriff auf die iControl REST-Schnittstelle und die tmsh zu sichern. Dazu gehören beispielsweise das Blocken des iControl REST-Zugriffs über die Verwaltungsschnittstelle für vertrauenswürdige Benutzer, die Einschränkung des Zugriffs auf die BIG-IP-Befehlszeile über SSH, das Blockieren des SSH-Zugriffs über eigene IP-Adressen oder das Blocken des SSH-Zugriffs über die Verwaltungsschnittstelle.

Analyse von Censys

Mit der Censys Internet Plattform für Threat Hunting und Attack Surface Management sind 1.124 exponierte Instanzen des F5 BIG-IP Configuration Utility (ohne virtuelle Hosts) auffindbar. Es kann sein, dass nicht alle dieser Instanzen verwundbar sind, da keine Informationen über spezifische Versionen vorliegen. 30 % der beobachteten, möglicherweise betroffenen Instanzen befinden sich in den USA, auch in Europa befinden sich einige.

Insgesamt nutzen 437.204 Geräte BIG-IP für Load Balancing und andere modulare Dienste der BIG-IP-Plattform. Diese Geräte wurden anhand von Sitzungs-Cookies in den Antwort-Header, die auf die Nutzung von BIG-IP hinweisen, mit BIG-IP in Verbindung gebracht. Diese Geräte sind jedoch nicht zwangsläufig von der Schwachstelle betroffen, da BIG-IP auch häufig als Proxy zwischen Client und Server fungiert.

Mehr Informationen und eine Karte der exponierten Anwendungen finden Sie hier:https://censys.com/cve-2025-20029/

Posted by on 20. März 2025.

Tags: attack-surface-management, cybersecurity, cybersicherheit, it-security, it-sicherheit, neuer-ffnung, schwachstelle, sicherheitsl-cke, threat-hunting, vulnerability, weihnachten

Categories: Allgemein

No Responses Yet

You must be logged in to post a comment.