شرکت F5 یک آسیب‌پذیری بحرانی منجر به اجرای کد از راه دور (Remote Code Execution) را در ماژول Access Policy Manager (APM) سیستم‌های BIG-IP شناسایی کرده است که در حال حاضر توسط مهاجمان در محیط واقعی مورد بهره‌برداری قرار می‌گیرد.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-94127 ردیابی می‌شود، از نوع heap-based buffer overflow (CWE-122) است. این آسیب‌پذیری به مهاجمان غیرمجاز (Unauthenticated) اجازه می‌دهد تا در صورتی که پیکربندی OAuth در یک سرور مجازی APM فعال باشد، کدهای مخرب خود را روی سیستم‌های هدف اجرا کنند.
در سیستم امتیازدهی CVSS، این مورد با نمره 9.8 در نسخه 3.1 و نمره 9.3 در نسخه 4.0 طبقه‌بندی شده است که نشان‌دهنده سطح بحرانی بودن آن است.
شرایط مورد تاثیر
- سیستم‌های BIG-IP APM که همزمان دارای یک Access Policy و یک پروفایل OAuth روی یک سرور مجازی (Virtual Server) هستند.
- مواردی که APM در آن‌ها به عنوان OAuth Authorization Server پیکربندی شده باشد.
لازم به ذکر است سیستم‌هایی که از APM صرفاً به عنوان OAuth Client یا Resource Server استفاده می‌کنند و پروفایل Authorization Server ندارند، تحت تاثیر این آسیب‌پذیری نیستند. همچنین این نقص مربوط به Data-plane است و لایه Control-plane سیستم BIG-IP را در معرض خطر قرار نمی‌دهد.
نشانه‌های شناسایی (Indicators)
مدیران شبکه و تیم‌های SOC باید موارد زیر را در لاگ‌ها بررسی کنند:
- تکرار زیاد شکست‌های احراز هویت OAuth.
- فعالیت‌های مشکوک در اجرای دستورات سیستم.
- کرش کردن پردازش TMM که منجر به سیگنال SIGABRT شود.
- وجود خطای
invalid_tokenدر مسیر/var/log/apmمربوط به درخواست‌های UserInfo (به‌ویژه اگر بیش از ۱۰ مورد از یک IP واحد مشاهده شود).
راهکارهای مقابله و رفع مشکل
شرکت F5 توصیه می‌کند سازمان‌ها سریعاً اقدامات زیر را انجام دهند:
- اعمال Hotfix: دریافت و نصب اصلاحات مهندسی از طریق F5 Downloads.
- استفاده از iRule: در صورتی که امکان آپدیت فوری وجود ندارد، کاربران باید با پشتیبانی F5 تماس گرفته و یک iRule حفاظتی را روی سرورهای مجازی متاثر اعمال کنند.
- مانیتورینگ: بررسی آمارهای
total_failedدر درخواست‌های OAuth و تحلیل فایل‌های Core مربوط به TMM.
