Il 15 ottobre F5, il produttore dei dispositivi BIG-IP con cui banche, enti pubblici e grandi aziende bilanciano il traffico e proteggono le applicazioni, ha comunicato di aver subito un’intrusione da parte di un attore sponsorizzato da uno Stato e «altamente sofisticato».
Gli attaccanti hanno avuto un accesso lungo e persistente all’ambiente di sviluppo di BIG-IP e alla piattaforma interna di documentazione tecnica. Da lì hanno portato via file con parte del codice sorgente di BIG-IP e informazioni su vulnerabilità non ancora pubbliche, quelle su cui l’azienda stava ancora lavorando. Alcuni file contenevano dati di configurazione di una piccola percentuale di clienti, che F5 contatterà direttamente.
L’intrusione è stata scoperta il 9 agosto. L’annuncio è arrivato due mesi dopo perché il Dipartimento di Giustizia statunitense ha chiesto di rinviarlo. F5 dice di non essere a conoscenza di falle critiche non pubblicate già sfruttate, e che verifiche esterne non hanno trovato modifiche alla catena di sviluppo e distribuzione del software. Quale Stato ci sia dietro, l’azienda non lo ha detto.
Un elenco di falle in mano sbagliata
Insieme all’annuncio sono usciti gli aggiornamenti trimestrali, con correzioni per decine di vulnerabilità in BIG-IP, F5OS, BIG-IQ e altri prodotti. La CISA ha emesso una direttiva d’emergenza: gli enti federali devono fare l’inventario dei dispositivi F5, verificare se le interfacce di gestione sono esposte su Internet e aggiornare entro il 22 ottobre. L’agenzia parla di «minaccia imminente».
Il motivo è semplice. Chi possiede il codice sorgente e l’elenco delle falle che il produttore conosce ha un vantaggio enorme: sa dove guardare, e può costruire un exploit molto prima degli altri. Il tempo tra la pubblicazione di una correzione e i primi attacchi, già ridotto a pochi giorni per i dispositivi perimetrali, rischia di accorciarsi ancora. E alcune di quelle falle potrebbero non essere ancora corrette.
Installa subito gli aggiornamenti di ottobre su tutti i prodotti F5. Poi verifica una cosa che dovrebbe essere scontata e spesso non lo è: le interfacce di gestione di BIG-IP non devono essere raggiungibili da Internet.
I dispositivi a fine supporto non riceveranno correzioni, quindi vanno sostituiti. E se i log dei dispositivi F5 non arrivano al tuo sistema di monitoraggio, comincia a mandarceli adesso: gli accessi amministrativi anomali dei prossimi mesi li vedrai solo lì.
