{"id":7156,"date":"2024-05-09T17:13:04","date_gmt":"2024-05-09T22:13:04","guid":{"rendered":"https:\/publicacion\/alerta-2024-10-vulnerabilidades-en-productos-de-f5\/"},"modified":"2024-10-22T08:21:45","modified_gmt":"2024-10-22T13:21:45","slug":"2024-10-vulnerabilidades-en-productos-f5","status":"publish","type":"publicacion","link":"https:\/\/beaconlab.us\/es\/publicacion\/2024-10-vulnerabilidades-en-productos-f5\/","title":{"rendered":"Alerta 2024-10 Vulnerabilidades en productos F5"},"content":{"rendered":"\n<h2 class=\"wp-block-heading\"><strong>Producto(s) afectado(s):<\/strong><\/h2>\n\n<ul class=\"wp-block-list\">\n<li><strong>F5 BIG-IP<\/strong><\/li>\n<\/ul>\n\n<h2 class=\"wp-block-heading\"><strong>Descripci\u00f3n:<\/strong><\/h2>\n\n<p>Un grupo de investigadores ha descubierto <strong>cinco vulnerabilidades<\/strong> en un componente que reside en la l\u00ednea de productos F5 BIG-IP. Cuando se explotan, estas vulnerabilidades conceden a los atacantes el control administrativo total del dispositivo, permiti\u00e9ndoles crear cuentas en cualquier activo F5 gestionado por el componente <strong>Next Central Manager<\/strong>. Estas cuentas creadas no ser\u00e1n visibles desde el componente, permitiendo la persistencia maliciosa dentro del entorno.  <\/p>\n\n<p>Cabe mencionar que no se ha informado de ninguna explotaci\u00f3n activa de estas vulnerabilidades en todo el mundo. Sin embargo, F5 s\u00f3lo ha reconocido dos de ellas, que tienen una puntuaci\u00f3n de gravedad de <strong>7,5<\/strong>, identificadas como: <\/p>\n\n<ul class=\"wp-block-list\">\n<li><strong>CVE-2024-21793<\/strong>: OData Injection, una vulnerabilidad que permite a los atacantes inyectar datos maliciosos en las consultas OData.<\/li>\n\n\n\n<li><strong>CVE-2024-26026<\/strong>: Inyecci\u00f3n SQL, que permite la ejecuci\u00f3n de sentencias SQL maliciosas.<\/li>\n<\/ul>\n\n<p>Adem\u00e1s, el equipo que descubri\u00f3 las vulnerabilidades insiste en que hay otras tres vulnerabilidades no reconocidas que tambi\u00e9n son importantes, entre ellas:<\/p>\n\n<ul class=\"wp-block-list\">\n<li>El potencial de explotaci\u00f3n de la Falsificaci\u00f3n de Peticiones del Lado del Servidor (SSRF).<\/li>\n\n\n\n<li>La posibilidad de restablecer la contrase\u00f1a de administrador sin autenticaci\u00f3n.<\/li>\n\n\n\n<li>Una debilidad en la configuraci\u00f3n del algoritmo hash, que puede no ser lo suficientemente robusto, creando oportunidades para ataques de fuerza bruta.<\/li>\n<\/ul>\n\n<h2 class=\"wp-block-heading\"><strong>Impacto:<\/strong><\/h2>\n\n<p>Un actor malintencionado puede explotar las vulnerabilidades reconocidas por F5 para crear cuentas ocultas, obteniendo persistencia en los productos F5 y la posibilidad de un control total sobre toda la red de dispositivos gestionados por el <strong>Next Central Manager<\/strong>.<\/p>\n\n<h2 class=\"wp-block-heading\"><strong>Soluci\u00f3n:<\/strong><\/h2>\n\n<p>Las vulnerabilidades reconocidas por F5 se han solucionado en <strong>la versi\u00f3n 20.2.0<\/strong> de <strong>Next Central Manager<\/strong>. Actualmente se desconoce si las vulnerabilidades no reconocidas se han solucionado en este parche. <\/p>\n\n<h2 class=\"wp-block-heading\"><strong>Informaci\u00f3n adicional:<\/strong><\/h2>\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/new-big-ip-next-central-manager-bugs-allow-device-takeover\/\">Art\u00edculo de Bleeping Computer<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/arstechnica.com\/security\/2024\/05\/critical-vulnerabilities-in-big-ip-appliances-leave-big-networks-open-to-intrusion\/\">Art\u00edculo de Ars Technica<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/arstechnica.com\/security\/2024\/05\/critical-vulnerabilities-in-big-ip-appliances-leave-big-networks-open-to-intrusion\/\">Art\u00edculo de Ars Technica<\/a><\/li>\n<\/ul>\n","protected":false},"featured_media":6066,"template":"","class_list":["post-7156","publicacion","type-publicacion","status-publish","has-post-thumbnail","hentry"],"acf":{"activar_pdf_link":true,"pdf":6065,"numero_de_boletin":"","traffic_light_protocol":"Amber"},"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/publicacion\/7156","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/publicacion"}],"about":[{"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/types\/publicacion"}],"version-history":[{"count":2,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/publicacion\/7156\/revisions"}],"predecessor-version":[{"id":7687,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/publicacion\/7156\/revisions\/7687"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/media\/6066"}],"wp:attachment":[{"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/media?parent=7156"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}