F5 закрывает критическую 0-day в BIG-IP APM: удалённое выполнение кода без авторизации

Компания F5 сообщила об активной эксплуатации критической уязвимости в модуле Access Policy Manager (APM) для BIG-IP. Брешь позволяет злоумышленнику выполнить произвольный код на устройстве без входа в систему.

В чём суть

Уязвимость получила идентификатор CVE-2026-94127 и представляет собой переполнение буфера в куче. По шкале CVSS v3.1 F5 оценила её в 9,8 из 10, по CVSS v4.0 — в 9,3. Раскрытие состоялось 22 сентября вместе с публикацией бюллетеня и выходом инженерных хотфиксов.

Опасности подвержены не все конфигурации, а лишь те, где APM выступает сервером авторизации OAuth и выдаёт приложениям токены доступа. Уязвимая схема выглядит так: на одном виртуальном сервере одновременно настроены политика доступа APM и профиль сервера авторизации OAuth. Специально сформированный трафик, направленный на этот виртуальный сервер, приводит к выполнению кода. Системы, использующие APM только как OAuth-клиент или сервер ресурсов, не затронуты.

Почему изоляция не спасает

Поскольку вредоносный трафик идёт на сам виртуальный сервер, ограничение доступа к интерфейсу управления BIG-IP не защищает. Уязвимы и системы, работающие в режиме Appliance.

Американское агентство CISA 22 сентября внесло уязвимость в каталог активно эксплуатируемых (KEV) и обязало федеральные гражданские ведомства применить меры до 25 сентября. При этом ни запись F5, ни данные CISA не раскрывают, сколько систем было атаковано, кто стоит за атаками и какие организации пострадали.

Примечательна путаница в формулировках. В 00:45 UTC 23 сентября F5 уточнила, что брешь проявляется только в роли сервера авторизации. Бюллетени CISA и CERT-EU вышли раньше и описывают условие шире — как наличие политики доступа и любого профиля OAuth на виртуальном сервере.

Что делать

Основное средство — инженерные хотфиксы для затронутых веток (21.1, 17.5 и 17.1). Если установить их немедленно нельзя, F5 предлагает временную защиту в виде iRule, которую выдают по обращению в поддержку. CISA рекомендует сначала применить iRule «для упреждающей криминалистической сортировки», а затем как можно скорее ставить финальный патч. CERT-EU советует прежде всего сохранить следы для расследования.

Признаки компрометации по данным F5: повторяющиеся неудачные запросы UserInfo в логах APM с ошибкой «The access token is invalid» (особенно десять и более с одного IP за короткое время), необъяснимый рост счётчика total_failed, подозрительные команды в журнале аудита и последующий аварийный сигнал SIGABRT для процесса TMM. Ни F5, ни CISA, ни CERT-EU не уточняют, лишает ли установка хотфикса уже полученного злоумышленником доступа.

Источник: The Hacker News