Días después de que la empresa F5 Networks publicara parches para vulnerabilidades críticas en sus productos BIG-IP y BIG-IQ, algunos actores de amenazas comenzaron a escanear en de forma masiva, apuntando a este tipo de dispositivos de red expuestos y sin parches para ingresar a las redes empresariales La noticia de la explotación In-the-Wild llega inmediatamente después de la aparición de varias PoC y códigos publicados. La explotación se habría logrado a principios de semanas y mediante la ingeniería inversa del parche de software Java en BIG-IP.   También se está utilizando para minar criptomonedas (botnets de criptominería)

Vulnerabilidades muy graves en productos F5 BIG-IP - CVE-2021-22986 CVSS score: 9.8 (Critica) y CVE-2021-22987 – CVSS score: 9.9 (Critica) - iControl REST (REST-based API) - iControl (SOAP-based API) 

Los fallos afectan las versiones 11.6 o 12.xy más recientes de BIG-IP, con una ejecución de código remoto crítico (CVE-2021-22986) que también afecta las versiones 6.xy 7.x de BIG-IQ.

CVE-2021-22986 (puntuación CVSS: 9,8) destaca por el hecho de que se trata de una vulnerabilidad de ejecución remota de comandos no autenticada (RCE completo) que afecta a la interfaz REST de iControl, lo que permite a un atacante ejecutar comandos arbitrarios del sistema, crear o eliminar archivos y deshabilitar servicios sin el necesidad de cualquier autenticación. 

  La explotación exitosa de estas vulnerabilidades podría conducir a un compromiso total de los sistemas susceptibles, incluida la posibilidad de ejecución remota de código, así como desencadenar un desbordamiento del búfer, lo que provocaría un ataque de denegación de servicio (DoS).

Si bien F5 dijo que no estaba al tanto de ninguna explotación pública de estos problemas el 10 de marzo, los investigadores del Grupo NCC dijeron que ahora han encontrado evidencia de "explotación de cadena completa de las vulnerabilidades de F5 BIG-IP / BIG-IQ iControl REST API CVE-2021 -22986, a raíz de múltiples intentos de explotación contra su infraestructura honeypot". 

 Además, el equipo de inteligencia de amenazas de la Unidad 42 de Palo Alto Networks dijo que encontró intentos de explotar CVE-2021-22986 para instalar una variante de la botnet Mirai. Pero no está claro si esos ataques tuvieron éxito.

Dada la popularidad de BIG-IP / BIG-IQ en las redes corporativas y gubernamentales, no debería sorprender que esta sea la segunda vez en un año que los dispositivos F5 se han convertido en un objetivo lucrativo para la explotación.

En julio pasado, la compañía abordó una falla crítica similar (CVE-2020-5902), luego de la cual fue abusada por grupos de atacantes informáticos patrocinados por el estado iraní y chino, lo que llevó a la Agencia de Seguridad de Infraestructura y Ciberseguridad de los EE.UU. (CISA) a emitir una alerta advirtiendo sobre una "amplia actividad de escaneo para la presencia de esta vulnerabilidad en todos los departamentos y agencias federales".

"La conclusión es que [las fallas] afectan a todos los clientes e instancias de BIG-IP y BIG-IQ; instamos a todos los clientes a actualizar sus implementaciones de BIG-IP y BIG-IQ a las versiones fijas lo antes posible", dijo el Kara Sprague de F5 la semana pasada. 

Por su parte, otras compañías comenzaron a ver una variante de la botnet Mirai intentando explotar esta CVE, aunque se desconoce si lograron hacerlo de manera efectiva, mientras que otros investigadores han detectado la explotación de esta falla en empresas de América Latina intentando instalar XMRig, un minero de criptomonedas muy utilizado por cibercriminales.

RCE Exploit in BIG-IP. CVE-2021-22986, CVE-2021-22987 

 python f5_rce.py -u https://ip_target

python f5_rce.py -f ip_list.txt 

python f5_rce.py -c "$commend"

Fuentes:

https://blog.segu-info.com.ar/2021/03/exploits-para-la-vulnerabilidad-critica.html