La autenticación BIG-IP APM AD (Active Directory) se puede omitir mediante una respuesta AS-REP (Respuesta del servicio de autenticación Kerberos) falsificada enviada a través de una conexión KDC (Centro de distribución de claves Kerberos) secuestrada, o desde un servidor AD comprometido por un atacante.

"La vulnerabilidad de suplantación de KDC permite a un atacante eludir la autenticación Kerberos en Big-IP Access Policy Manager (APM), eludir políticas de seguridad y obtener acceso sin restricciones a cargas de trabajo sensibles", dijeron los investigadores Yaron Kassner y Rotem Zach en un informe. "En algunos casos, esto también se puede utilizar para omitir la autenticación en la consola de administración de Big-IP".

Coincidiendo con la divulgación pública, F5 Networks ha lanzado parches para abordar la debilidad, con correcciones introducidas en las versiones 12.1.6, 13.1.4, 14.1.4 y 15.1 de BIG-IP APM .3. Se espera un parche similar para la versión 16.x en una fecha futura.

Como soluciones alternativas, la empresa recomienda configurar la autenticación multifactor (MFA) o implementar un túnel IPSec entre el sistema BIG-IP APM afectado y los servidores de Active Directory.

También es esencial como parte del proceso la autenticación de KDC en el servidor, en cuyo caso la seguridad de Kerberos se ve comprometida, lo que permite que un atacante tenga la capacidad de secuestrar la comunicación de red entre Big-IP y el controlador de dominio. (que es el KDC) para eludir la autenticación por completo.

En pocas palabras, la idea es que cuando el protocolo Kerberos se implementa de la manera correcta, un adversario que intenta hacerse pasar por el KDC no puede eludir las protecciones de autenticación. El ataque de suplantación, por lo tanto, depende de la posibilidad de que existan configuraciones Kerberos inseguras para secuestrar la comunicación entre el cliente y el controlador de dominio, aprovechándola para crear un KDC fraudulento que desvía el tráfico destinado al controlador al KDC falso. y posteriormente autenticarse ante el cliente.

"Un atacante remoto puede secuestrar una conexión KDC utilizando una respuesta AS-REP falsificada", señaló F5 Networks en la alerta. "Para una política de acceso APM configurada con autenticación AD y agente SSO, si se usa una credencial falsificada relacionada con esta vulnerabilidad, dependiendo de cómo el sistema back-end valida el token de autenticación que recibe, es muy probable que el acceso falle.

• Cisco ASA (CVE-2020-3125)
• Palo Alto Networks PAN-OS (CVE-2020-2002)
• IBM QRadar (CVE-2019-4545)