Tactical Air Tuesday: You were in a 4G inverted dive with a MiG-28? Edition Tactical Air Corp F-5AT' aggressors aka the mighty Mig-28 #Mig #topgun #F5 #tacair #agressors#aviation #aviationphotography #planespotting #aviation #AvGeek #spotter #photography #Nikon #aircraft #nikonphotgraphy #Z9
Wer ist auf der @republica und hat Lust uns am Stand C3 zu besuchen?
Wir sind noch heute und morgen vor Ort. Wie im letzten Jahr auch im Bündnis #F5. Das heißt, ihr trefft nicht nur uns, sondern auch fabelhafte Menschen von @algorithmwatch @reporterohnegrenzen_feed @Freiheitsrechte und von der @okfde
Jetzt bei uns am Stand C3 unseres Digitalbündnisses #F5 bei der @republica: Ferda Ataman, unabhängige Bundesbeauftragte für Antidiskriminierung. Kommt vorbei für eine spannende Diskussion und stellt ihr eure Fragen!
Am Stand unseres Digitalbündnisses #F5 mit @algorithmwatch, @okfde, @reporterohnegrenzen_feed und @wikimediaDE ist @eskensaskia, Bundesvorsitzende der SPD, zu Besuch.
Wir haben ihr unser Forderungspapier zur #Europawahl überreicht.
Zu den Forderungen: https://buendnis-f5.de/publikationen/2024-05-21-euforderungspapier
Wir sind im #Digitalbündnis F5 bei #WhoCares zur @republica am Start.
Gemeinsam mit @reporterohnegrenzen_feed, @algorithmwatch, @okfde und @wikimediaDE bringen wir ein volles Programm aus #KI-Einsatz im Superwahljahr, Diskriminierung & Algorithmen sowie #Datamining in der Polizeiarbeit mit an den Stand.
Am Montag (27.5.) geht’s los. Hier gibt’s die Übersicht zum 3-tägigen Event für die digitale Gesellschaft mit dem #F5-Stand.
https://re-publica.com/de/standprogramm?field_date_value=1&has_partner=3003
Zur #Europawahl gibt’s klare Forderungen aus unserem Digitalbündis #F5 mit @reporterohnegrenzen_feed, @algorithmwatch, @okfde und @wikimediaDE: Wir brauchen eine gemeinwohlorientierte Digitalpolitik, die private Kommunikation schützt & #BigTech konsequent reguliert.
https://buendnis-f5.de/publikationen/2024-05-21-euforderungspapier
GFF goes @republica. Euch erwarten #Meetups und #Panels am Stand des Digitalbündnisses #F5 sowie spannende #Talks und #Workshops - u.a. zu #AfD und Verbotsverfahren, #BigTech und dem Schutz der Nutzer*innenrechte und #DigitaleGewalt. Zum #rp24-Programm: https://freiheitsrechte.org/themen/freiheit-im-digitalen/rp
Letzten Freitag fand die erste #Digitalministerkonferenz #DMK statt - unsere Hauptforderung ist #Transparenz , unser Angebot ein #Transparenzregister: #F5
https://algorithmwatch.org/de/transparenzregister-oeffentliche-verwaltung-2023/
#nginx wurde befreit.
https://freenginx.org/
Der Entwickler Maxim #Dounin ist mit dem Weg, den der neue Eigentümer #F5 nimmt, unzufrieden und startet das Projekt unter neuem Namen.
https://freenginx.org/pipermail/nginx/2024-February/000000.html
Wir haben im Bündnis #F5 die Entwicklung des #Demokratiefördergesetzes mit unseren Stellungnahmen begleitet. Nach zwei Jahren ist es höchste Zeit, die Förderung zivilgesellschaftlichen Engagements für die Demokratie endlich auf den Weg zu bringen.
Hier geht es zu unseren Stellungnahmen:
https://buendnis-f5.de/publikationen/dfoerdgesetz-diskussionspapier
https://buendnis-f5.de/publikationen/dfoergesetz-referentenentwurf
@okfde @Freiheitsrechte @algorithmwatch und Reporter ohne Grenzen
@bortzmeyer I checked before the update ^^ #F5 @du_dot_ie
2/2
Wir haben sechs Forderungen zur Förderung des digitalen Ehrenamts entwickelt https://wmde.org/HUi6r und uns im Bündnis #F5 in die Engagementstrategie des Bundes eingebracht:
https://wmde.org/q5iUE
Denn noch immer ist vielen politischen Akteur*innen unklar, was das digitale Ehrenamt eigentlich ist und welche Förderung es braucht.
F5 reports active exploitation of both CVE-2023-46747 and CVE-2023-46748:
Link: https://my.f5.com/manage/s/article/K000137353 and https://my.f5.com/manage/s/article/K000137365
We should expect CISA to add both CVE-2023-46747 and CVE-2023-46748 to the Known Exploited Vulnerabilities Catalog today.
CVE-2023-46747 is a critical severity (CVSSv3: 9.8) vulnerability in F5's BIG-IP products that could allow for remote code execution.1 It was disclosed yesterday 26 October 2023 because F5 believed "this vulnerability is now known outside of F5 and Praetorian thus forcing our hands at an immediate disclosure."2
There is currently only a hotfix (no patch) for CVE-2023-46747.
This should be taken seriously because state actors have previously exploited critical F5 BIG-IP vulnerabilities: CVE-2020-5902 and CVE-2022-1388 are among the top 20 actively exploited vulnerabilities by Chinese state-sponsored cyber actors, as assessed by NSA, CISA and FBI. 3. CVE-2020-5902 was identified by the UK's NCSC as a vulnerability used for initial access by Russia's Foreign Intelligence Service (SVR) actors.4
See F5 Security Advisory: https://my.f5.com/manage/s/article/K000137353
Had a very interesting vuln disclosure experience today. I found a pre-auth RCE in F5-BIGIP admin panels (yes...the same one that's had RCE issues for years - there's more) with my coworker Thomas Hendrickson.
We went to report to F5 at the beginning of the month and had some back and forth with them over the disclosure timeline. We're not in a rush, we figured it would take a month or two to disclose, but they wanted to publish it in February 2024. That's a long time to wait for a pre-auth RCE bug, so we asked for it to be sooner, but with 48 hours notice so we could coordinate with our customers appropriately. They said they were fine with that.
Then last night at 8PM ET, we get an email that they're dropping the advisory + hotfix in 16 hours. We asked why and were told "we believe this vulnerability is now known outside of F5 and Praetorian thus forcing our hands at an immediate disclosure". The advisory was published a few hours ago - https://my.f5.com/manage/s/article/K000137353. No patch, but there's a hotfix you can run on some versions of F5s. A few versions have been marked as "will not fix", so this is a permanent way to pop them.
Simultaneously, a blog post that we referenced heavily for AJP Request Smuggling disappeared off the internet (the author locked every post they'd made since 2016). The posts were live 10 days or so ago.
It's likely all a huge coincidence - but regardless, if you want to read about a bug-chain to pop internet exposed F5 Management Panels or learn about AJP Request Smuggling, take a look over at https://www.praetorian.com/blog/refresh-compromising-f5-big-ip-with-request-smuggling-cve-2023-46747/.
Once the patch has had a little bit of time to be applied, we'll drop the rest of the technical information about the bug.
If anyone here is aware of this being exploited in the wild, I'd love to hear about it. Tagging a few folks who are a bit more in the know (apologies if this is spammy, but I'm curious).
On the IoC side it's a bit tricky because the bug relies on abusing a bug in Apache, so I have no idea what it actually looks like in the logs. The raw request will have "Transfer-Encoding: <a valid value>, chunked" as one of the headers. For example "Transfer-Encoding: gzip, chunked" or "Transfer-Encoding: chunked, chunked".
I know it's no #citrixbleed, but this is a pretty bad bug if you're one of the thousands of orgs that still has an F5 config panel on the internet.
#Zivilgesellschaft einbinden, Sicherheitsgesetze grundrechtskonform gestalten, Plattformen regulieren. Das Bündnis #F5 aus @Freiheitsrechte, @algorithmwatch, @okfde, @wikimediaDE und @reporterohnegrenzen_feed fordert: Diese digitalpolitischen Vorhaben muss die BuReg jetzt angehen.
https://netzpolitik.org/2023/halbzeitkritik-diese-vier-vorhaben-muss-die-ampel-endlich-anpacken/
Halbzeit der Legislatur - welche digitalpolitischen Vorhaben wurden angegangen - und welche nicht? Unser Bündnis #F5 aus @reporterohnegrenzen_feed, @wikimediaDE, @okfde & @algorithmwatch lädt zu einem digitalpolitischen Netzwerkabend in der Forum Factory Berlin ein.
18:30 - 19:45 h: Paneldiskussion zur digitalen Transformation und aktuellen digitalpolitischen Themen mit Bewertung der Koalitionsfortschritte und digitaler Zukunftsthemen.
Danach, entspanntes Get-Together. https://zfrmz.eu/leKR30ZATFmrx40DU6R3
