Resumen Ejecutivo
■ Contexto:
El día de ayer, 1 de febrero de 2023, la empresa de tecnología estadounidense especializada en seguridad de aplicaciones, prevención de fraude en línea, seguridad de red, acceso y autorización, F5, ha lanzado una publicación en su página web, un aviso de seguridad sobre una vulnerabilidad en cadena en el formato iControl SOAP, que podría permitir a un atacante el poder bloquear el proceso CGI o el poder ejecutar código de manera arbitraria. La vulnerabilidad esta categorizada como de gravedad Alta.
La vulnerabilidad fue reportada a F5 por Ron Bowes, de la empresa Rapid7.
■ Descripción:
La vulnerabilidad rastreada como CVE-2023-22374, puede permitir que un atacante autenticado con acceso de red a iControl SOAP a través del puerto de administración BIG-IP o las direcciones IP propias, pueda provocar un ataque de denegación de servicio (DoS) en el proceso CGI de iControl SOAP o ejecute código de manera arbitrarios del sistema.
Para explotar con éxito el vector de ataque de ejecución de código, el atacante debe levantar un proceso de conocimientos y recolección de datos sobre el entorno en el que existe el componente vulnerable. No hay exposición al plano de datos; Este es solo un problema del plano de control.
Los productos vulnerables, según F5, son los siguientes:
El problema no afecta a BIG-IP SPK, BIG-IQ, F5OS-A, F5OS-C, NGINX y Traffix SDC.
■ Recomendación:
Esta vulnerabilidad solo puede ser explotable por un usuario autenticado, por este motivo se recomienda restringir el acceso al puerto de administración solo a personas de confianza.
■ Mitigación [TEMPORAL]:
Se recomienda a los Sysadmins o al personal encargado de las tecnologías de F5 de la organización, el verificar la versión actual e implementar el parche temporal de revisión de Ingeniería de F5.
OJO: Las revisiones de ingeniería no se someten a una extensa evaluación de control de calidad de las versiones de software programadas. F5 ofrece revisiones de ingeniería sin garantía de facilidad de uso. Comunica F5 en el aviso de seguridad.
■ Mitigación [Oficial]:
- 02/02/2023 – 17:04 PM: No existe parche disponible que sea estable como tal, según F5. Solo se encuentra disponible la solución de «revisión de Ingeniería«.
Para más información, haga click aquí para ser redirigido al portal de seguridad de F5.
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
