شرکت F5 اخیراً یک آسیب‌پذیری بحرانی در محصول BIG-IP APM را شناسایی کرده است که منجر به اجرای کد از راه دور (Remote Code Execution) می‌شود. طبق گزارش‌های منتشر شده، این نقص امنیتی در حال حاضر توسط مهاجمان در محیط‌های واقعی مورد بهره‌برداری (Active Exploitation) قرار گرفته است.
جزئیات فنی آسیب‌پذیری
این آسیب‌پذیری که با شناسه CVE-2026-94127 شناخته شده و امتیاز CVSS 9.8 را دریافت کرده است، از نوع Heap-based Buffer Overflow است. این نقص به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (Unauthenticated)، دسترسی کامل به سیستم داشته باشند و کدهای مخرب خود را روی دستگاه هدف اجرا کنند.
سیستم‌های تحت تأثیر
این مشکل تمامی نسخه‌های BIG-IP APM را که دارای شرایط زیر باشند تحت تأثیر قرار می‌دهد:
- پیکربندی Access Policy
- استفاده از OAuth Profile بر روی یک Virtual Server
راهکارهای مقابله و کاهش ریسک
توصیه می‌شود مدیران امنیت شبکه در سریع‌ترین زمان ممکن اقدام به به‌روزرسانی سیستم‌های خود نمایند. در صورتی که اعمال Patch بلافاصله امکان‌پذیر نباشد، شرکت F5 یک راهکار موقت بر پایه iRule برای Virtual Serverهای آسیب‌دیده ارائه داده است که کاربران باید برای دریافت آن با پشتیبانی F5 تماس بگیرند.
شاخص‌های شناسایی نفوذ (IoC)
برای شناسایی حملات احتمالی، تیم‌های SOC باید موارد زیر را در سیستم‌های خود رصد کنند:
- الگوهای احراز هویت: مشاهده تعداد زیادی شکست در احراز هویت OAuth که بلافاصله با دستورات مشکوک و سپس وقوع TMM SIGABRT دنبال شود.
- بررسی Logها: تحلیل فایل
/var/log/auditدر بازه‌های زمانی وقوع خطاهای OAuth برای یافتن دستورات غیرعادی. - تحلیل Core Fileها: بررسی فایل‌های Core مربوط به TMM؛ اگرچه وجود این فایل‌ها به تنهایی نشانه نفوذ نیست، اما در صورت مشاهده حلقه‌های تکرار (Loop) که منجر به ارسال SIGABRT توسط SOD daemon شود، باید بررسی‌های دقیق‌تری صورت گیرد.
