Уязвимость в Kerberos KDC позволяет обойти аутентификацию F5 BIG-IP

Специалисты компании Silverfort сообщили о новой уязвимости в службе Kerberos Key Distribution Center (KDC), с помощью которой злоумышленник может обойти аутентификацию Kerberos в менеджере политик приложений F5 BIG-IP Access Policy Manager (APM), обойти политики безопасности и получить доступ к важным рабочим нагрузкам и в некоторых случаях к консоли администратора BIG-IP.

Как пояснил производитель решения, компания F5 Networks, хакер может удаленно перехватить KDC-соединение с помощью вредоносного ответа AS-REP.

«В APM политика доступа сконфигурирована на основе аутентификации AD и SSO (технология единого входа), при использовании связанных с этой уязвимостью поддельных учетных данных, в зависимости от того, как бекэнд проверяет полученный токен аутентификации, доступ, скорее всего, не будет произведен. Политика доступа APM также может быть сконфигурирована для системной аутентификации BIG-IP. Использование поддельных учетных данных для административного пользователя через политику доступа APM может предоставить локальный доступ администратора», - уточняется в предупреждении F5 Networks.

Компания уже устранила уязвимость (CVE-2021-23008) с выпуском версий BIG-IP APM 12.1.6, 13.1.4, 14.1.4 и 15.1.3. Выпуск патча для версии 16.x ожидается в скором будущем.

Kerberos - протокол сетевой аутентификации, предлагающий механизм взаимной аутентификации клиента и сервера перед установлением связи между ними, при этом в протоколе учтен тот факт, что начальный обмен информацией между клиентом и сервером происходит в незащищенной среде, а передаваемые пакеты могут быть перехвачены и модифицированы.

Key Distribution Center (KDC) - центр распределения ключей. KDC выдает билеты (tickets), применяемые для аутентификации клиента конкретного сервиса. Вместе с информацией о каждом абоненте безопасности в базе данных KDC сохраняется криптографический ключ, известный только этому абоненту и службе KDC. Этот ключ, который называют долговременным, используется для связи пользователя системы безопасности с центром распределения ключей.