Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Is This A Joke? In The Auth Header? (F5 BIG-IP UnAuth Heap-Overflow to RCE CVE-2026-94127)

1 minute de lecture

Mis à jour :

Analyse d’une faille critique : Heap-Overflow dans F5 BIG-IP

Une vulnérabilité critique (CVE-2026-94127) a été identifiée dans les solutions F5 BIG-IP, permettant à un attaquant non authentifié d’exécuter du code arbitraire (RCE) à distance. Cette faille réside dans la gestion de l’en-tête HTTP Authorization au sein du module Access Policy Manager (APM) configuré avec un profil OAuth.

Points clés :

  • Vulnérabilité : L’application ne vérifiait pas la taille des données lors de la copie de l’en-tête Authorization dans une mémoire tampon (buffer) allouée sur le tas (heap).
  • Mécanisme d’exploitation : En envoyant une requête HTTP avec un en-tête Authorization dépassant la taille allouée (0x4100 octets), un attaquant peut provoquer un débordement de tas (heap-overflow).
  • Impact : Le débordement permet d’écraser des pointeurs de fonction situés à proximité en mémoire, offrant ainsi la possibilité de détourner le flux d’exécution.
  • Contournement des protections : Bien que le système dispose de protections (ASLR, NX), l’absence de PIE (Position Independent Executable) facilite l’utilisation de gadgets pour orchestrer une attaque, malgré les restrictions imposées par SELinux.

Vulnérabilités :

  • CVE-2026-94127 : Heap-Overflow menant à une exécution de code à distance (RCE).

Recommandations :

  • Mise à jour immédiate : Appliquer les correctifs fournis par F5 dès que possible. Les versions corrigées sont mentionnées dans l’avis officiel de sécurité K000162605.
  • Vérification de configuration : Les versions spécifiquement concernées incluent BIG-IP APM 21.1.0 et 17.x (notamment 17.5.0-17.5.1 et 17.1.0-17.1.3).
  • Segmentation : En attendant le déploiement des correctifs, restreindre l’accès à l’interface d’administration et aux endpoints OAuth exposés aux adresses IP de confiance.

Source

Vous pourriez aimer