CVE-2021-23005

F5 BIG-IQ: brak szyfrowania TLS w protokole Corosync dla HA

CVSS 9.1v3.1pub. 2021-03-31upd. 2024-11-21

W wersjach 6.x i 7.x systemu F5 BIG-IQ Centralized Management komunikacja protokołem Corosync, wykorzystywanym do automatycznego przełączania awaryjnego (failover) w konfiguracji wysokiej dostępności (HA) z urządzeniem Quorum, nie jest chroniona przez TLS. Brak szyfrowania naraża ruch klastrowy na podsłuch i potencjalną manipulację, co może prowadzić do nieautoryzowanego dostępu do poufnych danych lub modyfikacji komunikacji między węzłami.

▸ Pokaż oryginał (EN)

On all 7.x and 6.x versions (fixed in 8.0.0), when using a Quorum device for BIG-IQ high availability (HA) for automatic failover, BIG-IQ does not make use of Transport Layer Security (TLS) with the Corosync protocol. Note: Software versions which have reached End of Software Development (EoSD) are not evaluated.

🤖 Analiza AI

Jak działa

W konfiguracji HA z urządzeniem Quorum BIG-IQ używa protokołu Corosync do koordynacji pracy klastra i wyzwalania automatycznego failover. W wersjach 6.x i 7.x komunikacja Corosync odbywa się bez szyfrowania TLS, co oznacza, że dane przesyłane między węzłami klastra są wysyłane w postaci niezaszyfrowanej. Atakujący z dostępem do segmentu sieci, w którym działa komunikacja klastrowa, może przechwycić lub zmodyfikować tę komunikację.

Skutki

Atakujący z pozycji sieciowej (np. man-in-the-middle) może przechwycić poufne dane przesyłane między węzłami klastra BIG-IQ oraz potencjalnie manipulować komunikacją Corosync, wpływając na integralność mechanizmu wysokiej dostępności.

Mitygacja

Należy zaktualizować F5 BIG-IQ Centralized Management do wersji 8.0.0 lub nowszej, która wprowadza szyfrowanie TLS dla komunikacji Corosync. Szczegółowe informacje dostępne w biuletynie producenta: https://support.f5.com/csp/article/K01243064

Kogo dotyczy

F5 BIG-IQ Centralized Management w wersjach 6.x i 7.x używanych z urządzeniem Quorum w konfiguracji HA z automatycznym failover. Wersja 8.0.0 zawiera poprawkę. Wersje, które osiągnęły koniec wsparcia (EoSD), nie są objęte oceną.