راهکار جدید f5 آسیب پذیری رابط کاربری مدیریت ترافیک

گزینه‌های رفع و کاهش موقتی آن

دوران آکادمی مجری دوره‌های تخصصی راهکارهای F5 BIG-IP با ارائه لابراتور آموزشی و برگزاری workshop (کارگاه) عملیاتی است. شما را در پیکربندی، مدیریت، افزایش کارایی، عیب‌یابی و مدیریت امن شبکه و برنامه‌های تحت وب یاری می‌نماید. در این مقاله (راهکار جدید f5 آسیب پذیری رابط کاربری مدیریت ترافیک) یک آسیب ‌پذیری مهم که حاصل اشتباه در پیکربندی است و نحوه رفع آن را با استفاده از F5 مطرح می‌نماییم. همچنین برای کسب اطلاعات بیشتر در خصوص پیاده سازی و خرید محصولات F5 می توانید به سایت گروه دوران مراجعه نمایید.

یک اطلاعیه در مورد آسیب پذیری اجرای کد از راه دور جدید که چندین نسخه از F5 BIG-IP را تحت تاثیر قرار می‌دهد، در 2020 منتشر شد. آسیب پذیری ها یا اجرای کد از راه دور (RCE)،بدون شک یکی از شدیدترین آسیب پذیری های ممکن است. زیرا یک مهاجم می‌تواند سیستم شما را در اختیار بگیرد و شروع به اجرای دستورات (اصلاح پرونده‌ها، غیرفعال کردن سرویس‌ها، اجرای کد و غیره) نماید.

این آسیب پذیری خاص به مهاجمان غیرمجاز یا کاربران معتبر که اجازه دسترسی به شبکه را دارند ولی مجوز رابط کاربری مدیریت ترافیک (TMUI) را ندارند این امکان را می‌دهد تا از طریق پورت مدیریت BIG-IP و / یا IPهای شخصی از راه دور دستورات سیستم را اجرا کنند، همچنین سیاست‌های امنیتی را به نفع خود تغییر دهند. این آسیب پذیری بر صفحه داده‌ها تاثیر نمی‌گذارد، اما در نتیجه آن کنترل پنل تحت تاثیر قرار می‌گیرد. ممکن است منجر به تهدیدی تمام عیار برای سیستم شود.

رفع با راهکار جدید f5

به دلیل شدت این آسیب پذیری، توصیه می‌کنیم برای محافظت از سیستم BIG-IP خود در برابر تهدید، سریعا آخرین نسخه پچ شده را نصب کنید.

در زیر یک جدول از نسخههای آسیب پذیر شناخته شده BIG-IP و نسخه‌های اصلاح شده مرتبط قابل مشاهده است.

گزینه‌های کاهشی موقت برای راهکار جدید f5 آسیب پذیری رابط کاربری مدیریت ترافیک

یکی از اصلی‌ترین دلایلی که این آسیب پذیری را ایجاد می‌کنند این است که ادمین‌ها پورت مدیریت BIG-IP خود را به اینترنت باز می‌کنند.  این کار درستی نیست و شما هرگز نباید درگاه مدیریت خود (TMUI) را در معرض اینترنت باز قرار دهید. اگر این کار را انجام دهید، مانند این است که به مهاجمین دعوتنامه‌ای برای انجام اقدامات مخرب مختلف سیستم BIG-IP فرستاده‌اید.

مطمئنا، سیستم BIG-IP از طریق سرورهای مجازی و غیره که روی سیستم BIG-IP شما پیکربندی شده است ترافیک را از اینترنت باز پردازش می‌کند، اما کنترل مدیریتی سیستم (TMUI) شما، باید به منظور ایمن‌سازی قفل شود. فقط باید دسترسی داخلی داده شود.

دلیل دیگری که این آسیب پذیری را در معرض سو استفاده قرار می‌دهد این است که IPهای شخصی در سیستم‌های BIG-IP به درستی قفل نشده‌اند. IPهای شخصی در حالت دیفالت بسته هستند (port lockdown در حالت “allow none” است)، اما بعضی ادمین‌ها این تنظیمات را تغییر می‌دهند تا پورت‌های خاصی را برای برخی از IPهای شخصی باز کنند. اگر یک پورت IP شخصی به پورت پیش فرض TMUI 443 (در بعضی موارد 8443) باز باشد، IP شخصی به TMUI دسترسی خواهد داشت. مهاجم می‌تواند از طریق یک IP شخصی به خطر افتاده به سیستم شما دسترسی پیدا کند.

خبر خوب این است که تمام این‌ها قابل تنظیم و پیکربندی‌اند و می‌توان قفل کردن را به درستی انجام داد. ابتدا، همانطور که پیشتر بیان شد، هیچگاه پورت مدیریتی خود (TMUI) را در معرض اینترنت باز قرار ندهید. سپس، پورت‌های IP شخصی خود را قفل کرده و آن را در حالت “Allow None” قرار دهید. در صورتیکه که برای IP شخصی خود مجبور به باز کردن پورت‌ها هستید، اطمینان حاصل کنید که پورت را برای TMUI خود باز نکنید.

همچنین، شما می‌توانید تنظیم کنید که TMUI کدام پورت را تحت نظر قرار دهد. بنابراین، تعداد زیادی گزینه برای وجود دارند که بتوانید سیستم BIG-IP خود را به درستی تنظیم کنید تا از از سو استفاده از یک آسیب پذیری قابل توجه مانند این جلوگیری کنید.

موارد مهم دیگری که باید در خصوص راهکار جدید f5 بدانید!

استفاده از سرویس F5 iHealth برای شناسایی آسیب پذیری های سیستم BIG-IPتان توصیه می‌شود. iHealth فوق‌العاده است. شما تنها لازم است یک فایل QKView را از BIG-IP خود بارگذاری کنید. سپس iHealth آن پرونده را در برابر بسیاری از توصیه‌های پیکربندی، بررسی‌های امنیتی و غیره اجرا می‌کند و سپس لیستی از توصیه‌ها را برای ایجاد تغییرات در سیستم BIG-IP و نحوه ایجاد تغییر به شما ارائه  می‌دهد.

ممکن نیست که خطایی صورت بگیرد! اینترنت فضایی پیچیده است. همه ما می‌خواهیم به یکدیگر کمک کنیم تا در مواجه با این موانع اجتناب‌ناپذیر مسائل امنیتی موفق باشیم. ما در این راه در کنار یکدیگر هستیم.

برای اطلاعات بیشتر در مورد  آموزش F5 شبکه‌های اجتماعی دوران آکادمی را دنبال کنید.