Critical F5 NGINX Fehler erfordern sofortiges Patch, um DoS und Remote-Code Ausführung zu vermeiden

F5 hat Off-Cycle-Sicherheitsaktualisierungen veröffentlicht, um mehrere Schwachstellen auf NGINX-Webservern zu korrigieren, einschließlich zwei kritische Schwerkraft die es Remote-unauthenticated-Angreifern ermöglichen, Service-Denials zu verursachen und unter bestimmten Bedingungen beliebigen Code auszuführen. Diese Fehler nutzen klassische Speicherfehler - gebrauchsfrei und Überläufe im Stapel -, die den Arbeitsprozess zum Wiedereinstieg und, wenn das System hat ASLR deaktiviert oder der Angreifer schafft es, es zu zeichnen, kann zu Remote-Code Ausführung führen.

Die Korrekturen umfassen sowohl NGINX Open Source als auch NGINX Plus als Komponenten des F5 Portfolios, darunter NGINX Gateway Fabric und NGINX Court Manager. Durch die umfassende Umsetzung dieser Technologien in unternehmens- und dienstleistungsorientierten Umgebungen führt jede kritische Störung in NGINX zu einem hohen Risiko für Infrastrukturen, die öffentliche und private Anwendungen bedienen, insbesondere da F5 in den letzten Jahren ein wiederholtes Ziel von kriminellen und staatlichen Kampagnen ist.

Wenn Sie die Patches nicht sofort anwenden können, hat F5 auf eine der Schwachstellen hingewiesen: deaktivieren HTTP / 3 (entfernen "quic" aus den Listenrichtlinien) für eine der Schwachstellen, und für die andere zu überprüfen und anzupassen Header-Richtlinien (entfernen ignorieren _ invalid _ headers off und reduzieren groß _ kunden _ header _ puffer unter 2 MB). Diese Maßnahmen helfen, stellen aber keine endgültige Lösung dar: Das deaktivieren von HTTP / 3 reduziert die Angriffsfläche, beeinflusst aber auch die HTTP / 3 Zellleistung und Eigenschaften.

Angesichts dieser Warnungen sollte eine koordinierte Antwort angenommen werden: Priorisierung der sofortigen Patching von Internet-belichteten und kritischen Dienstinstanzen; erste Bereitstellung in Testumgebungen zur Validierung der Kompatibilität; und Anwendung der Zeitbegrenzung, wenn das Update nicht sofort möglich ist. Darüber hinaus aktiviert sie kompensatorische Kontrollen wie spezifische WAF-Regeln, Netzwerksegmentierung, um administrative Komponenten und erweiterte Datensätze zu isolieren, um ungewöhnliche Neuanfänger oder Abstürzen des nginx-Prozesses zu erkennen.

Es wird auch empfohlen, den Status von ASLR und andere Memory-Schutz auf den betroffenen Servern zu überprüfen, Audit-Aufzeichnungen und EDR / IDS-Benachrichtigungen für Betriebszeichen (Core-Bindumps, unerwartete Kinderprozesse, wiederholte Arbeiterausfälle) zu überprüfen und Integritätsanalyse in Binär- und Konfiguration durchzuführen. Angesichts der Präzedenz von Schwachstellen und F5-Code, gibt es einen größeren Anreiz für schädliche Akteure, schnell nach der Offenlegung zu entwickeln.

Für offizielle Informationen über die Korrekturen und die damit verbundene CVE siehe die Hinweise des Lieferanten und der öffentliche Leitfaden für aktive Schwachstellen: F5 Support Seite und den Katalog aktiv genutzter Schwachstellen der CISA in den USA. Vereinigte Staaten, die eine nützliche Aufzeichnung hält, um Abhilfemaßnahmen zu priorisieren: CISA - bekannte Schwachstellen ausgenutzt (F5). Um die Auswirkungen der Deaktivierung von HTTP / 3 auf Ihre Dienste zu verstehen, können Sie die NGINX technische Dokumentation auf HTTP / 3: NGINX - HTTP / 3.

Kurz gesagt, diese Mitteilung als Priorität behandeln: die Patches des Lieferanten so schnell wie möglich anwenden, nur als temporäre Lösung dokumentierte Abschwächung verwenden, die Sichtbarkeit und Überwachung der betroffenen Instanzen erhöhen und seine auffallende Antwort- und Patch-Management-Strategie überprüfen, um Belichtungsfenster gegen Akteure zu reduzieren, die historisch genutzte Schwachstellen in F5-Produkten haben.