Företaget F5 som är mest kända för sina lastbalanserare och proxy-servrar har skickat ut en säkerhetsbulletin där man meddelar att 43 säkerhetsbrister har åtgärdats.

Den allvarligaste bristen har fått CVSS score på hela 9.8, men förutsätter att angriparen kan komma åt management porten på produkten BIG-IP:

This vulnerability may allow an unauthenticated attacker with network access to the BIG-IP system through the management port and/or self IP addresses to execute arbitrary system commands, create or delete files, or disable services. There is no data plane exposure; this is a control plane issue only.

För att åtgärda bristerna bör du uppgradera till version:

• 17.0.0
• 16.1.2.2
• 15.1.5.1
• 14.1.4.6
• 13.1.5

Brister med lägre CVSS på 8.7 är följande två:

• Authenticated F5 BIG-IP Guided Configuration integrity check in Appliance mode vulnerability CVE-2022-25946
• Authenticated F5 BIG-IP Guided Configuration in Appliance mode vulnerability CVE-2022-27806

Och så har även två stycken autentiserings-bypass sårbarheter identifierats som har fått CVE-2022-25946 och CVE-2022-27806.

Efter fem års arbete är nu äntligen security.txt fastslagen standard informational och har fått RFC 9116. Security.txt är en fil som företag, organisationer och privatpersoner kan placera på sin webbserver för att peka ut lämpliga kontaktvägar för den som identifierar en säkerhetsbrist.

Bakom arbetet med att standardisera denna text-fil står EdOverflow och Yakov Shafranovich. Flertalet stora och kända organisationer såsom Google, Facebook och Github använder sig av denna text-fil.

Om du vill skapa upp en sådan fil själv så kan du använda verktyget som återfinnes här:

• https://securitytxt.org/

Och det finns även ett Github-repo för den som vill hjälpa till med utvecklingen av security.txt här:

• https://github.com/securitytxt/security-txt

Exempel på hur en fil som är placerad under https://example.com/.well-known/security.txt kan se ut:

# Our security address
Contact: mailto:[email protected]

# Our OpenPGP key
Encryption: https://example.com/pgp-key.txt

# Our security policy
Policy: https://example.com/security-policy.html

# Our security acknowledgments page
Acknowledgments: https://example.com/hall-of-fame.html

Expires: 2021-12-31T18:37:07z

Tyvärr har dock kryptera.se ingen sådan fil ännu, men det kommer vilket år som helst.

Update: Glömde givetvis att länka till själva RFC:n som du hittar här.

En ny kryptobugg har identifierats i programspråket Java. Det gäller hur Java hanterar ECDSA-signaturer och buggen gör det möjligt att förfalska dessa signaturer. Sårbarheten gäller Java versioner mellan 15 och 18. Anledningen till att buggen uppstod var för att man bestämde sig för att skriva om koden från C++ till native Java.

Omfattningen av buggen är otroligt omfattande och gäller exempelvis OIDC, WebAuthn tokens, JWT och SAML. Intressant är också att Project Wycheproof som är utvecklat av Google har just tester för denna typ av sårbarhet.

ECDSA står för Elliptic Curve Digital Signature Algorithm och en längre förklaring av buggen finns på Neil Maddens blogg. Oklart gällande CVSS-scoring eftersom Oracle ger den 7.5 men Neil hävdar att den bör ligga på högsta och allvarligaste värdet som är 10.

En stack-overflow brist har identifierats i programspråkets Go hantering av PEM-certifikat. Bristen har fått CVE-2022-24675 och uppdagades av Juho Nurminen från Mattermost.

Rekommenderat är att uppgradera till 1.18.1 och 1.17.9 som innehåller åtgärder för denna brist samt två andra. Oklart hur attack-vektorn ser ut för utnyttjande av denna sårbarhet, men troligtvis leder denna till ”RCE över nätverk” i flertalet applikationer.

Följande test har införts för att testa efter buggen:

Följande tre brister har åtgärdats:

- encoding/pem: fix stack overflow in Decode

A large (more than 5 MB) PEM input can cause a stack overflow in Decode, leading the program to crash.

Thanks to Juho Nurminen of Mattermost who reported the error.

This is CVE-2022-24675 and https://go.dev/issue/51853.

- crypto/elliptic: tolerate all oversized scalars in generic P-256

A crafted scalar input longer than 32 bytes can cause P256().ScalarMult or P256().ScalarBaseMult to panic. Indirect uses through crypto/ecdsa and crypto/tls are unaffected. amd64, arm64, ppc64le, and s390x are unaffected.

This was discovered thanks to a Project Wycheproof test vector.

This is CVE-2022-28327 and https://go.dev/issue/52075.

- crypto/x509: non-compliant certificates can cause a panic in Verify on macOS in Go 1.18

Verifying certificate chains containing certificates which are not compliant with RFC 5280 causes Certificate.Verify to panic on macOS.

These chains can be delivered through TLS and can cause a crypto/tls or net/http client to crash.

Thanks to Tailscale for doing weird things and finding this.

This is CVE-2022-27536 and https://go.dev/issue/51759.

En ny allvarlig sårbarhet (Remote Code Execution) har uppdagats i Windows RPC-gränssnitt. Denna sårbarhet har fått CVE-2022-26809 samt CVSS score på 9.8 vilket är mycket högt.

Som en förmildrande åtgärd så rekommenderar Microsoft att blockera TCP port 445, men tittar man på Shodan så finns det över en miljon exponerade portar. Och här i Sverige finns det över 5000 exponerade MS RPC-portar. Dock går RPC även att köra över port 135, 139 och oklart varför Microsoft inte har med det i sin rekommendation.

Förutom att blockera dessa portar för inkommande trafik så bör du även installera tisdagens patchar som släpptes av Microsoft. Viktigt också att poängtera att exploit complexity är satt till ”low”.

Två nya RCE:er har publicerats i java-ramverket Spring. Den ena sårbarheten går under namnet Spring4Shell och återfinnes i Spring Cloud Function SPEL:

• CVE-2022-22963 – Spring Expression Resource Access Vulnerability

Exempel på anrop där sårbarheten utnyttjas:

curl -i -s -k -X $’POST’ -H $’Host: 192.168.1.2:8080′ -H $’spring.cloud.function.routing-expression:T(java.lang.Runtime).getRuntime().exec(\”touch /tmp/test”)’ –data-binary $’exploit_poc’ $’http://192.168.1.2:8080/functionRouter’

Att uppgradera till Spring Cloud Function 3.1.7 eller 3.2.3 löser problemet med den ena sårbarheten. Sårbarheten har fått en CVSS score på hela 9.0 av 10, vilket är mycket allvarligt.

Den andra RCE:n återfinnes i Spring Core. Och en PoC återfinnes på Github här bl.a. (obs kör på egen risk):

• github.com/craig/SpringCore0day/blob/main/exp.py

Enligt universitetet i peking så utnyttjas minst en av dessa sårbarheter aktivt:

All versions of JDK9 and above may be affected. Currently, this vulnerability has been exploited in the wild.

Och några mer uppdateringar:

The new Spring RCE (coined Spring4Shell) is as bad as it seems! It is a ClassLoader manipulation (no unsafe deserialization or jndi as I heard). It allows attackers to plant a webshell when running Spring MVC apps on top of JRE 9. Just a POST needed. No patch available yet.

Troligtvis uppstår problemet på grund av följande (källa)

Uppdatering: Kan vara så att jag blandat ihop dessa två, att Spring4Shell är den i Spring Core.

Gällande den ena sårbarheten utan CVE så är den relativt gammal och går under CVE-2010-1622.