Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

F5 Networks BIG-IP Protocol Security Module (PSM) >= 11.0.0
F5 Networks BIG-IP Protocol Security Module (PSM) <= 11.4.1 HF9 Betroffene Plattformen: F5 Networks BIG-IP Systeme Eine Schwachstelle in BIG-IP ermöglicht einem entfernten, nicht authentisierten Angreifer die Durchführung eines Denial-of-Service (DoS)-Angriffs sowie beliebigen Datenverkehr in lokale Netzwerke zu injizieren. Des weiteren kann ein entfernter, einfach authentisierter Angreifer zwei weitere Schwachstellen für das Umgehen von Sicherheitsvorkehrungen und Ausspähen von Informationen ausnutzen. F5 Networks informiert über die Schwachstellen und darüber, welche Produkte und Programmversionen von dieser betroffen sind. Das BIG-IP Protocol Security Module (PSM) ist von der Schwachstelle CVE-2016-1497 in den Versionen 11.0.0 - 11.4.1 und von der Schwachstelle CVE-2015-8022 in den Versionen 11.3.0 - 11.4.1 HF9 sowie 11.0.0 - 11.2.1 HF15 betroffen; für beide stehen zur Behebung die Sicherheitsupdates 11.4.1 HF10 und 11.2.1 HF16 bereit. Für die schwerwiegendste Schwachstelle CVE-2016-5736, von der die BIG-IP PSM Versionen 11.4.0 - 11.4.1 betroffen sind, gibt es derzeit keine Sicherheitsupdates. Patch: F5 Networks Security Advisory sol12401251 http://support.f5.com/kb/en-us/solutions/public/k/12/sol12401251.html?ref=rss

Patch:

F5 Networks Security Advisory sol31925518

http://support.f5.com/kb/en-us/solutions/public/k/31/sol31925518.html?ref=rss

CVE-2016-5736: Schwachstelle in BIG-IP-Produkten ermöglicht u.a.
Denial-of-Service-Angriff

Die Einstellungen zum anonymen IPsec IKE Peer Konfigurations-Objekt
ermöglichen einem Endpunkt in einem Netzwerk (Peer) ohne Zertifikatsprüfung
oder vorher geteilten Schlüssel (Pre-shared Key) die IKE Phase 1 (Erstellung
eines sicheren Kanals für die Verhandlungen der IPsec Security Associations
(SAs) in Phase 2) zu erreichen. Dadurch erhält ein entfernter, nicht
authentifizierter Angreifer die Möglichkeit, einen Brute-Force-Angriff auf
die Verhandlungen zur IKE Phase 2 durchzuführen und dadurch einen
Denial-of-Service (DoS)-Zustand herbeizuführen oder beliebigen Datenverkehr
in lokale Netzwerke zu injizieren.

CVE-2016-1497: Schwachstelle in BIG-IP-Produkten ermöglicht Ausspähen von
Informationen

Es existiert eine Schwachstelle im BIG-IP-Konfigurationswerkzeug, falls der
Access Policy Manager (APM) konfiguriert ist. Ein entfernter, einfach
authentifizierter Angreifer mit erweiterten Privilegien kann auf in den
APM-Logdateien gespeicherte Sitzungsinformationen zugreifen und dadurch
Informationen ausspähen.

CVE-2015-8022: Schwachstelle in BIG-IP-Produkten ermöglicht Umgehen von
Sicherheitsvorkehrungen

Im Konfigurationswerkzeug (Configuration Utility) von BIG-IP existiert eine
nicht näher beschriebene Schwachstelle aufgrund unzureichender Validierung
von Dateitypen oder Inhalten beim Hochladen von Dateien. Ein entfernter,
einfach authentifizierter Angreifer kann durch Ausnutzen der Schwachstelle
Beschränkungen der ‘Access Policy Manager’-Einstellungen umgehen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-1308/

F5 Networks Security Advisory sol12401251:
http://support.f5.com/kb/en-us/solutions/public/k/12/sol12401251.html?ref=rss

F5 Networks Security Advisory sol31925518:
http://support.f5.com/kb/en-us/solutions/public/k/31/sol31925518.html?ref=rss

F5 Networks Security Advisory sol10133477:
http://support.f5.com/kb/en-us/solutions/public/k/10/sol10133477.html?ref=rss

Schwachstelle CVE-2015-8022 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-8022

Schwachstelle CVE-2016-1497 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1497

Schwachstelle CVE-2016-5736 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5736

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.