F5 patches BIG-IP APM zero-day flaw exploited in RCE attacks
Mis à jour :
Vulnérabilité critique « Zero-Day » dans F5 BIG-IP APM
F5 a publié des correctifs pour corriger une faille de sécurité critique de type « zero-day » affectant BIG-IP APM (Access Policy Manager). Cette vulnérabilité est actuellement exploitée par des attaquants pour exécuter du code à distance (RCE).
Points clés :
- Impact : La faille concerne spécifiquement les instances configurées en tant que serveur d’autorisation OAuth, lorsqu’une politique d’accès et un profil OAuth sont simultanément actifs sur un serveur virtuel.
- Risque : CVE-2026-94127 a été ajoutée au catalogue des vulnérabilités exploitées (KEV) de la CISA, imposant aux agences fédérales américaines une remédiation urgente.
- Étendue : Plus de 14 700 adresses IP exposant le service BIG-IP APM ont été identifiées en ligne, bien que le nombre d’appareils réellement compromis soit inconnu.
Vulnérabilité :
- CVE-2026-94127 : Exécution de code à distance (RCE) via une mauvaise gestion des profils OAuth dans BIG-IP APM.
Recommandations :
- Mise à jour : Appliquer immédiatement les correctifs de sécurité fournis par F5.
- Mitigation temporaire : Si le correctif ne peut être installé immédiatement, déployer l’iRule spécifique fournie par le support technique de F5 sur les serveurs virtuels affectés.
- Audit de sécurité : Rechercher des indicateurs de compromission sur les systèmes, notamment une combinaison d’échecs d’authentification OAuth multiples, suivis de commandes suspectes et d’une erreur « TMM SIGABRT ».
- Analyse de configuration : Vérifier si vos déploiements utilisent APM en tant que serveur d’autorisation OAuth, car les configurations agissant uniquement en tant que client/serveur de ressources OAuth ne sont pas vulnérables.