- Un code d'exploitation en Python pour la vulnérabilité critique CVE-2022-1388 affectant les serveurs F5 BIG-IP a été rendu public, permettant l'exécution de commandes à distance sur les systèmes non corrigés.
Ce qu’il faut savoir
La vulnérabilité CVE-2022-1388, répertoriée avec un score CVSS de 9,8 sur dix, affecte les solutions de gestion du trafic et d'accès applicatif F5 BIG-IP. Il s'agit d'une faille d'exécution de code à distance (RCE) qui permet à un attaquant non authentifié d'exécuter des commandes arbitraires sur un serveur vulnérable via les interfaces de gestion web.
La faille exploite une vérification insuffisante des en-têtes de requête dans le composant TMUI (Traffic Management User Interface). Un attaquant peut ainsi injecter des commandes système lors de requêtes soigneusement construites, obtenant potentiellement le contrôle complet de la machine ciblée.
Un outil d'exploitation rendu public
Plusieurs flux spécialisés en sécurité informatique référencent un dépôt public de code d'exploitation écrit en Python, désigné sous l'identifiant KITPLOIT:TOOLS-GITHUB-OMNIGODZ-CVE-2022-1388. Ce script, nommé exploit.py, propose une interface en ligne de commande permettant de cibler un serveur vulnérable en précisant son adresse IP ou nom de domaine, le port de service, la commande à exécuter et l'utilisation éventuelle de SSL.
Les exemples documentés illustrent son utilisation contre un serveur HTTPS tournant sur le port 8443 ou un serveur HTTP sur le port 1346. La commande de base permet par exemple d'exécuter la commande système id sur la machine cible afin de confirmer la réussite de l'exploitation.
Ce que cela signifie pour les administrateurs
La disponibilité publique d'un outil fonctionnel réduit considérablement la barrière technique pour exploiter cette vulnérabilité. Les systèmes F5 BIG-IP non mis à jour avec les correctifs publiés par le fabricant sont exposés, notamment ceux dont les interfaces de gestion sont accessibles depuis des réseaux non contrôlés.
Les conséquences potentielles incluent la compromission complète du serveur, la divulgation de données sensibles stockées ou gérées par l'appareil, ainsi que son utilisation comme point d'entrée dans des réseaux d'entreprise ou des centres de données. F5 avait publié des avis de sécurité et des mises à jour logicielles pour remédier à cette faille, incluant également des recommandations de configuration temporaires.
Vérification et limites
Le sujet a fait l'objet d'un recoupement entre deux sources spécialisées indépendantes répertoriant l'exploit et ses caractéristiques techniques. Les deux sources décrivent le même code d'exploitation et les mêmes paramètres d'utilisation. Il convient de noter que la simple existence d'un outil d'exploitation public ne signifie pas qu'une attaque est en cours ou qu'un système spécifique a été compromis. L'exploitation effective dépend de la configuration particulière de chaque environnement et de la présence de mesures de protection complémentaires.
Les informations rapportées ici sont fondées exclusivement sur la documentation technique des outils référencés et ne reposent sur aucune confirmation de compromission réelle.
Chronologie
2 sources
Cette synthèse rapproche plusieurs sources et est présentée dans la langue de cette édition. Langue source : EN.