F5 BIG-IP’dagi xavfli zaiflik: Administrator huquqi orqali tizimni buzish mumkin
Mashhur tarmoq uskunalari ishlab chiqaruvchisi F5 Networks o‘zining BIG-IP qurilmalarida xavfli zaiflik aniqlanganini ma’lum qildi. CVE-2025-31644 deb nomlangan bu zaiflik orqali tizimga kirish huquqiga ega foydalanuvchi «root» darajasida buyruqlar bajarishi mumkin.
Muammo BIG-IP qurilmalari «Appliance mode»da ishlaganda yuzaga chiqadi. Bu rejimda odatda tizim yanada cheklangan va himoyalangan bo‘ladi. Ammo yangi aniqlangan xatolik bu himoyani chetlab o‘tishga imkon beradi.
Zaiflik qurilmaning iControl REST API yoki tmsh (TMOS Shell) deb ataladigan buyrug‘i orqali ishlatiladi. Hujumchi, agar tizimga administrator sifatida kirish huquqiga ega bo‘lsa, oddiy bir buyruq orqali tizimga o‘zining buyruqlarini qo‘shib yuborishi mumkin. Bu holat “buyruq in’eksiya hujumi” deb ataladi.
Xavfsizlik bo‘yicha mutaxassis Matei «Mal» Badanoiu bu zaiflikni topdi va GitHub’dagi sahifasida qanday qilib bu ekspluat (hujum) ishlashini namoyish qildi. U buyruqdagi bir parametrni noto‘g‘ri ishlatib, tizimga quyidagi kabi zararli kod kiritishni ko‘rsatdi:
save sys config file test; bash -c 'id'
Bu kod orqali hujumchi tizimda aynan kim sifatida ishlayotganini aniqlashi (odatda root) va boshqa og‘ir buyruqlarni ham bajarishi mumkin bo‘ladi.
Yaxshiyamki, bu zaiflikdan foydalanish uchun hujumchining tizimga administrator sifatida kirish huquqi bo‘lishi kerak. Lekin agar tizimda biror komprometatsiyalangan yoki noto‘g‘ri nazorat qilingan foydalanuvchi mavjud bo‘lsa, bu katta tahdidga aylanishi mumkin.
Shu orqali hujumchi:
- Tizimda root darajasida buyruqlarni bajara oladi
- Fayllarni o‘chirishi yoki yaratishi mumkin
- Tizim cheklovlarini aylanib o‘tadi
Bu zaiflik faqat tizimni boshqarish qismiga (control plane) ta’sir qiladi. Ya’ni, ma’lumot uzatish qismi (data plane) hozircha xavfsiz.
F5 kompaniyasi bu muammoni bartaraf etuvchi yangilanishlarni chiqarib bo‘lgan. Quyidagi versiyalarga o‘tish tavsiya qilinadi:
- 17.1.2.2
- 16.1.6
- 15.1.10.7
Yangilanish imkoniyati bo‘lmagan holatlarda esa vaqtincha quyidagi choralarni ko‘rish mumkin:
- iControl REST’ga Self IP orqali kirishni to‘liq bloklash
- Boshqaruv interfeysini REST API’dan uzish
- SSH kirishni faqat ishonchli tarmoqlargagina ruxsat berish
- IP-manzil filtratsiyasi orqali kirishni cheklash
F5 kompaniyasi: “Agar foydalanuvchi ishonchli bo‘lmasa, unga tizimga kirish imkonini umuman bermang,” deb ogohlantirgan.
Agar siz yoki tashkilotingiz F5 BIG-IP qurilmalaridan foydalanayotgan bo‘lsa, tizimingiz xavfsizligini tekshiring va yangilanishni imkon qadar tezroq o‘rnating. Chunki bu zaiflik hujumchiga tizim ichida o‘zini cheklanmagan darajada harakatlantirish imkonini beradi — bu esa har qanday infratuzilma uchun jiddiy xavfdir.
