Nieuws
image

F5 Big-IP kwetsbaar voor Bleichenbacher-aanval

maandag 20 november 2017, 11:22 door Redactie, 4 reacties

Netwerkfabrikant F5 Networks heeft een ernstig beveiligingslek in het Big-IP-platform gepatcht waardoor aanvallers de mogelijkheid hadden om man-in-the-middle-aanvallen uit te voeren en de inhoud van versleutelde berichten in te zien. Het Big-IP-platform draait op allerlei apparaten voor de zakelijke markt.

Het probleem speelde bij Big-IP virtuele servers die met een client-ssl-profiel geconfigureerd zijn. Deze apparaten zijn kwetsbaar voor een "Bleichenbacher-aanval". Daniel Bleichenbacher is een Zwitserse cryptograaf die in 2006 een kwetsbaarheid in RSA-implementaties demonstreerde, waardoor het mogelijk is om RSA-handtekeningen te vervalsen. In het geval van Big-IP is hierdoor "plaintext recovery" van versleutelde berichten mogelijk. De aanval zou door een gebruiker met toegang tot het netwerkverkeer of in het geval van een man-in-the-middle-positie kunnen worden uitgevoerd.

Volgens Nick Sullivan, cryptograaf bij Cloudflare, gaat het om een zeer ernstige kwetsbaarheid. Hij merkt echter op dat het lastig is om de verificatie van RSA-handtekeningen goed te implementeren en het om de zoveel tijd fout gaat. Een aantal jaren geleden rolde OpenSSL nog updates uit vanwege een kwetsbaarheid waardoor de Bleichenbacher-aanval mogelijk was. Op een schaal van 1 tot en met 10 wat betreft de ernst van het beveiligingslek is die met een 9,1 beoordeeld. Meer informatie, waaronder details over de updates en workarounds, is in de advisory van F5 te vinden.

Image

Reacties (4)
20-11-2017, 16:41 door Anoniem
Opmerkelijk dat een bedrijf dat halve dus onveilige ssl aanbiedt en MitM op de lijn pleegt van wereldwijd niets vermoedende internetters het nieuws probeert te halen met het wijzen naar security onvolkomenheden bij anderen.

Maar goed, slechte publiciteit is ook publiciteit.
De naam blijft het langste hangen, niet de inhoud van het nieuws.

Gratis pr in het quadraat
20-11-2017, 16:54 door [Account Verwijderd]
[Verwijderd]
20-11-2017, 21:43 door Anoniem
Door PTR: Hmm, als meneer Sullivan het artikel wel gelezen had, had hij ook kunnen zijn dat er specifiek in staat dat de private key niet gecompromiteerd wordt, quote uit het F5 artikel:

This vulnerability is not an RSA private key recovery attack and does not compromise the server’s private key.

Jammer dat er aan dit soort twittergeschreeuw meegedaan wordt. Graag feiten checken voor publicatie.

Je hebt de private key ook niet nodig als je de server dingen voor je kan laten signen.
21-11-2017, 09:24 door Anoniem


Je hebt de private key ook niet nodig als je de server dingen voor je kan laten signen.

Indeed, dat had ik even verkeerd gelezen, het is mitm. De manier van oppennen is wat tendentieus van meneer Sullivan, het suggereert dat de private key gecompromiteerd is.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search