Un exploit mettant à profit une vulnérabilité récemment corrigée, permettant à des attaquants potentiels de bénéficier d'un accès administrateur sur des appareils réseau de l'équipementier F5 Networks, a été ajouté au Metasploit Framework. L'outil Open Source pour le développement et l'exécution d'exploits contre une machine distante, peut-être utilisé aussi bien par des administrateurs pour tester la vulnérabilité des systèmes informatiques, que par des pirates. Dans un avis de sécurité publié le 6 juin, F5 Networks a prévenu ses clients que les attaquants pouvaient exploiter une erreur de configuration SSH pour avoir un accès root sur un grand nombre de ses produits. Les plates-formes vulnérables sont VIPRION B2100, B4100, B4200, Enterprise Manager 3000, 4000; BIG-IP 520, 540, 1000, 2000, 2400, 5000, 5100, 1600, 3600, 3900, 6900, 8900, 8950, 11000, 11050; et BIG-IP Virtual Edition.

Une clef SSH privée devenu accessible à tous

La clé SSH privée présente sur de nombreux appareils de F5 Networks est accessible au public, ce qui rend les appareils vulnérables. « Cette clef permet à des utilisateurs non autorisés de contourner la procédure d'authentification et de se connecter en mode d'administration à ces périphériques », a expliqué dans un communiqué Florent Daigniere, le chercheur en sécurité qui a découvert le problème.

Les utilisateurs des produits concernés doivent, dès que possible, effectuer les mises à jour logicielles et appliquer les correctifs mis à disposition par F5, surtout que le code d'exploitation de cette vulnérabilité est maintenant accessible au public.

F5 a également publié un outil de reconfiguration SSH. Celui-ci permet aux clients qui ne sont pas en mesure de déployer les correctifs de sécurité immédiatement d'empêcher la clé SSH compromise de fonctionner. Les instructions sur l'utilisation de cet outil, et d'autres parades sont décrites dans l'avis technique communiqué par F5 Networks.

La vulnérabilité, identifiée CVE-2012-1493, est qualifiée de hautement critique par l'entreprise de sécurité Secunia, car elle peut compromettre un système complet et peut-être être exploitée à distance.