CISA: Хакеры используют файлы cookie F5 BIG-IP для создания карт внутренних серверов

CISA предупреждает о том, что угрожающие субъекты были замечены в использовании незашифрованных постоянных файлов cookie F5 BIG-IP для определения и нацеливания на другие внутренние устройства в целевой сети.

Составляя карту внутренних устройств, субъекты угроз могут выявить уязвимые устройства в сети на этапе планирования кибератаки.

«CISA наблюдала, как субъекты киберугроз использовали незашифрованные постоянные файлы cookie, управляемые модулем F5 BIG-IP Local Traffic Manager (LTM), для перечисления других устройств в сети, не связанных с Интернетом», - предупреждает CISA.

«Вредоносный злоумышленник может использовать информацию, полученную из незашифрованных постоянных файлов cookie, для определения дополнительных сетевых ресурсов и потенциального использования уязвимостей, обнаруженных в других устройствах, присутствующих в сети».

F5 persistent sessions cookies

F5 BIG-IP - это набор средств доставки приложений и управления трафиком для балансировки нагрузки на веб-приложения и обеспечения безопасности.

Одним из его основных модулей является модуль Local Traffic Manager (LTM), который обеспечивает управление трафиком и балансировку нагрузки для распределения сетевого трафика между несколькими серверами. Используя эту функцию, клиенты оптимизируют ресурсы серверов с балансировкой нагрузки и обеспечивают высокую доступность.

Модуль Local Traffic Manager (LTM) в составе продукта использует файлы cookie, которые помогают поддерживать постоянство сеанса, направляя трафик от клиентов (веб-браузеров) каждый раз на один и тот же внутренний сервер, что очень важно для балансировки нагрузки.

«Cookie persistence обеспечивает постоянство сеанса с помощью HTTP-куки», - объясняет документация F5.

«Как и все режимы постоянства, HTTP-куки гарантируют, что запросы от одного и того же клиента будут направлены к одному и тому же участнику пула после того, как система BIG-IP первоначально сбалансирует их нагрузку. Если тот же член пула недоступен, система принимает новое решение о балансировке нагрузки».

По умолчанию эти файлы cookie не зашифрованы, что, вероятно, необходимо для сохранения операционной целостности в устаревших конфигурациях или по соображениям производительности.

Начиная с версии 11.5.0 и далее, администраторы получили новую опцию «Требуется» для обеспечения шифрования всех файлов cookie. Те, кто решил не включать эту опцию, подвергались риску безопасности.

Однако эти файлы cookie содержат закодированные IP-адреса, номера портов и настройки балансировки нагрузки внутренних серверов балансировки нагрузки.

В течение многих лет исследователи в области кибербезопасности рассказывали о том, как с помощью незашифрованных файлов cookie можно найти ранее скрытые внутренние серверы или неизвестные открытые серверы, которые можно просканировать на предмет уязвимостей и использовать для взлома внутренней сети. Также было выпущено расширение Chrome для расшифровки этих файлов, чтобы помочь администраторам BIG-IP устранить неполадки в соединениях.

По данным CISA, субъекты угроз уже используют этот потенциал, используя слабые конфигурации для обнаружения сети.

CISA рекомендует администраторам F5 BIG-IP ознакомиться с инструкциями производителя (также здесь) по шифрованию этих постоянных файлов cookie.

Обратите внимание, что параметр конфигурации «Предпочтительный» в средней точке генерирует зашифрованные файлы cookie, но также позволяет системе принимать незашифрованные файлы cookie. Этот параметр можно использовать на этапе миграции, чтобы позволить ранее выпущенным файлам cookie продолжать работать до введения зашифрованных файлов cookie.

При установке значения «Требуется» все постоянные файлы cookie шифруются с помощью надежного шифрования AES-192.

CISA также отмечает, что компания F5 разработала диагностический инструмент под названием «BIG-IP iHealth», предназначенный для обнаружения неправильных конфигураций продукта и предупреждения администраторов о них.