f5devcentral/cve-2020-5902-ioc-bigip-checkerScript F5 BIG-IP local qui recherche des indicateurs de compromission (IoCs) liés à CVE-2020-5902, en vérifiant les journaux, les fichiers et l'intégrité du système pour détecter une activité post-exploitation.
Ce script est destiné à être exécuté localement sur un F5 BIG-IP dans l'Advanced Shell (bash) par un utilisateur disposant des privilèges root ; il n'est pas destiné à être exécuté dans tout autre environnement. Remarque : le mode Appliance ne permet pas l'accès à l'Advanced Shell, et par conséquent cet outil ne peut pas être exécuté sur ces systèmes.
Le script examine le BIG-IP à la recherche des indicateurs de compromission (IoC) associés à CVE-2020-5902 qui étaient connus de F5 Networks au moment de la rédaction. Le script rassemble ces IoC et présente un rapport sous forme de synthèse que vous pouvez utiliser pour éclairer votre décision sur la meilleure marche à suivre. Si cet outil découvre des IoC, vous devez les examiner et les confirmer manuellement, puis suivre vos propres procédures documentées pour la gestion des systèmes suspectés d'être compromis. Des conseils spécifiques à F5 sont disponibles dans K11438344 : Considérations et conseils en cas de suspicion de compromission de sécurité sur un système BIG-IP.
Remarque : Si vous avez une quelconque incertitude ou doute quant à l'intégrité d'un système, l'approche prudente consiste à considérer le système comme compromis et à suivre vos procédures internes de gestion d'un système compromis. Notez également que toute information contenue sur un système compromis doit elle-même être considérée comme compromise. Cela inclut, sans s'y limiter, les mots de passe, les clés privées, les certificats numériques, les configurations, les journaux, etc.
Il faut noter que les IoC peuvent ne plus être présents soit en raison de l'âge (par exemple, par les cycles de rotation des journaux), soit par suppression par un adversaire suffisamment compétent. L'exploitation de CVE-2020-5902 pouvant entraîner une exécution de code à distance en tant qu'utilisateur root, un attaquant compétent serait libre de nettoyer le système de toutes traces après l'exploitation.
Notez également qu'un attaquant pourrait empoisonner n'importe quel binaire du système, y compris python. Des mesures raisonnables ont été prises pour éviter cette possibilité ; cependant, vous devez déterminer votre niveau de confiance dans la sortie de cet outil sur tout système suspecté d'être compromis.
Sur les versions de BIG-IP qui incluent sys-eicheck (13.1.0 et ultérieures), cet outil offre à l'administrateur la possibilité de vérifier le système en cours d'exécution par rapport aux RPM d'installation d'origine pour détecter toute modification de fichier afin de garantir l'intégrité des commandes système sur lesquelles cet outil repose. Notez que sys-eicheck peut être exécuté sur toutes les plates-formes, quelle que soit la capacité FIPS.
Sur les versions antérieures, l'outil n'inclut pas actuellement cette fonctionnalité et s'exécutera sans vérifier si les binaires système installés d'origine ont été falsifiés.
La somme sha384 de cette version de CVE-2020-5902_bigip_ioc_checker.py est : ce674235744b54de3331c19a402f911c4390dbbf297643ec3eed165bda49a951f48c1be9188372de3d92dd9f28595cbb
Vous ne devez télécharger ces fichiers qu'à partir du dépôt GitHub F5 DevCentral
Notez que la source faisant autorité pour les informations sur CVE-2020-5902 est toujours l'avis de sécurité F5, K52145254 : Vulnérabilité RCE TMUI CVE-2020-5902
Téléchargez simplement le fichier CVE-2020-5902_bigip_ioc_checker.py sur le BIG-IP cible et exécutez-le en utilisant l'installation Python déjà présente sur le BIG-IP.
Exemple :
[root@hostname:Active:Standalone] tmp # python CVE-2020-5902_bigip_ioc_checker.py -h
USAGE: python CVE-2020-5902_bigip_ioc_checker.py
You can use the following options <-iajylcbwut> to skip some checks:
Option: -i or --skip_sys-eicheck
[+] Skip using the sys_eicheck utility to scan the BIG-IP system for any unexpected changes to the system software.
[+] Please refer to https://support.f5.com/csp/article/K00029945for more details about the sys-eicheck utility.
[+] The sys-eicheck utility may take several minutes to finish.
Option: -a or --skip_audit_check [+] Skip scanning the audit log for malicious activities.
Option: -j or --skip_journal_check [+] Skip scanning the journal log for malicious activities.
Option: -y or --skip_systems_check [+] Skip scanning /config/bigip_user.conf to look for malicious users.
Option: -l or --skip_alias_check [+] Skip scanning /config/bigip_*.conf for malicious alias definition.
Option: -c or --skip_catalina_check [+] Skip scanning the tomcat catalina.out log for malicious activities.
Option: -b or --skip_bigipstartup_check [+] Skip checking if /config/startup contains blacklisted words.
Option: -w or --skip_webshell_check [+] Skip checking Files created after 2020 Jun 29 in the /usr/local/www/ to look for possible webshell files.
Option: -u or --skip_autostart_check [+] Skip checking Files created after 2020 Jun 29 in /etc/ to look for the possible autostart script.
Option: -t or --skip_tmp_check [+] Skip checking Files created after 2020 Jun 29 in /tmp
Option: -p or --disable_color_print [+] Disable color print, better for saving result
Option: -q or --bigiq_cmd_check [+] Run BIG-IQ compatible malicious command check
Option: -h or --help [+] Print usage
Si un BIG-IP est géré par BIG-IQ ou un autre système d'automatisation/gestion, il peut recevoir des commandes bash de BIG-IQ ou d'un autre système d'automatisation/gestion. Certaines commandes bash contiennent un script d'encodage base64 intégré. Ces commandes bash enregistrées dans les journaux d'audit du BIG-IP peuvent amener l'outil de détection d'IoC à signaler de fausses notifications positives : "!! IoC pattern malicious bash command found". Pour réduire les faux positifs, vous pouvez utiliser l'option -q pour que l'outil de détection d'IoC ignore le script encodé en base64 légitime dans les journaux d'audit.
La mise à niveau du système peut mettre à jour les horodatages des fichiers dans /usr/local/www/, ce qui peut entraîner un faux positif, par exemple si le logiciel corrigé a été récemment installé.
Si des résultats sont renvoyés pour l'une des vérifications des dates de création de fichiers, dans /usr/local/www/, /etc/ et /tmp/, les fichiers doivent être examinés pour déterminer leur légitimité.
Il est possible de trouver encore des indicateurs de compromission dans les journaux journalctl après une mise à niveau vers une version corrigée ou après l'application de la solution de contournement. Veuillez examiner l'horodatage des journaux s'ils sont présents et vérifier qu'ils datent d'avant la mise à niveau ou l'application de la solution de contournement.
# python CVE-2020-5902_bigip_ioc_checker.py -iqa
>>>> Skip sys-eicheck check
>>>> Run BIG-IQ compatible malicious command check
>>>> Skip audit log check
CVE-2020-5902 Indicators of Compromise checker. False positive reports are possible and all results should be manually verified.
[+] Version 13.1.0 Build 0.0.1868 CVE-2020-5902 Fixed: False
!! IoC pattern ['/etc/fakefile', '/etc/passwd', '/etc/fakefile1'] access denied in file /var/log/tomcat/catalina.out
!! IoC pattern ['/config/bigip_base.conf'] access denied in file /var/log/tomcat/catalina.out.1
!! IoC pattern Possible backdoor echo "<?php eval(\$_REQUEST[09ede7]);" > /usr/local/www/xui/common/css/webshell.php in file /config/startup
!! IoC pattern Possible backdoor echo "Runtime.getRuntime().exec("cmd.exe /C " + cmd);" > /usr/local/www/xui/common/css/webshell.jsp in file /config/startup