F5 Patches Critical BIG-IP APM Zero-Day Exploited for Unauthenticated RCE on OAuth Servers

Vulnérabilité critique RCE dans F5 BIG-IP APM

Une faille critique (zero-day) affecte le module BIG-IP Access Policy Manager (APM) de F5, permettant à un attaquant non authentifié d’exécuter du code à distance (RCE) via des serveurs d’autorisation OAuth.

Points clés :

• Nature de la faille : Dépassement de tampon basé sur le tas (heap-based buffer overflow).
• Conditions d’exploitation : La vulnérabilité est exploitée lorsque le module APM est configuré comme serveur d’autorisation OAuth et qu’un profil d’accès est associé au même serveur virtuel.
• Gravité : Évaluée à 9.8/10 (CVSS v3.1), elle est activement exploitée et figure au catalogue KEV de la CISA.
• Périmètre : La limitation de l’accès à l’interface de gestion ne protège pas contre cette attaque, le trafic malveillant ciblant directement le serveur virtuel.

Vulnérabilité :

• CVE-2026-94127

Versions affectées et correctifs (Hotfixes) :

• 21.1 : 21.1.0 -> Hotfix-BIGIP-21.1.0.2.0.30.22-ENG
• 17.5 : 17.5.0 à 17.5.1 -> Hotfix-BIGIP-17.5.1.9.0.160.12-ENG
• 17.1 : 17.1.0 à 17.1.3 -> Hotfix-BIGIP-17.1.3.5.0.41.14-ENG

Recommandations :

1. Application immédiate : Installer les correctifs d’ingénierie (hotfixes) fournis par F5 pour les versions concernées.
2. Atténuation temporaire : Si le correctif ne peut être appliqué immédiatement, contacter le support F5 pour obtenir une règle iRule dédiée permettant de bloquer l’exploitation.
3. Audit de compromission :
   • Surveiller les logs APM (/var/log/apm) pour détecter des échecs répétés de requêtes “UserInfo”.
   • Analyser les logs d’audit (/var/log/audit) à la recherche de commandes suspectes corrélées aux échecs d’authentification.
   • Vérifier les statistiques OAuth (tmctl) pour identifier une augmentation anormale des échecs.
   • Rechercher des plantages du démon TMM (SIGABRT).
4. Forensique : Préserver les preuves numériques avant d’appliquer toute mesure corrective si une compromission est suspectée.

Source