Aktif olarak istismar edilen F5 BIG-IP APM heap overflow'ı, ağ kenarında kimlik doğrulaması gerektirmeyen RCE imkânı sunuyor

Doğrulanmış istismarla birlikte kritik bir açık

F5, 22 Eylül 2026'da CVE-2026-94127'yi duyurdu; BIG-IP Access Policy Manager'daki heap tabanlı buffer overflow hatası, CVSS v3.1 altında Kritik derecede 9,8 ve v4.0 altında 9,3 puan taşıyor. dev.to'ya göre söz konusu kusur, kimlik doğrulaması gerektirmeyen bir saldırganın cihaz üzerinde kod çalıştırmasına imkân veriyor ve hâlihazırda kötüye kullanıldı: F5'nin danışma belgesi zafiyetin istismar edildiğini belirtirken, aynı konuya ilişkin bir New York Eyaleti duyurusu da üreticinin sahadaki saldırıları doğruladığını söylüyor. CISA, açığı duyurulduğu gün Known Exploited Vulnerabilities kataloğuna ekledi ve düzeltme için 25 Eylül son tarihini belirledi.

Kapsam dar ama güvenlik açısından hassas

Sömürü, belirli bir yapılandırma gerektiriyor. F5'nin K000162605 numaralı danışma belgesine göre kusur yalnızca hem bir APM access policy hem de bir OAuth profile taşıyan bir virtual server üzerinde ve yalnızca APM'nin OAuth Authorization Server olarak hareket ettiği durumda ortaya çıkıyor. APM'yi yalnızca OAuth client veya resource server olarak çalıştıran kurulumlar etkilenmiyor; Rapid7 ise varsayılan kurulumun bu kusuru hiç taşımadığını belirtiyor.

Bu durum yine de risk altında anlamlı bir kitle bırakıyor. Kuruluşlar, kendi gateway'leri iç uygulamalara token sunduğunda ve oturum açma işlemleri kurumsal çevre ile denetlenen kimlik sistemi içinde tutulduğunda authorization server modelini kullanıyor. Ağ üzerindeki sonuç, internet isteklerine yanıt veren ve üzerinde bir OAuth endpoint'i ile o endpoint'te oturan bir heap overflow bulunan bir virtual server oluyor.

F5 üç etkilenen sürüm dalı listeliyor: 21.1.0, 17.5.0'dan 17.5.1'e kadar ve 17.1.0'dan 17.1.3'e kadar. Şirket hatayı CWE-122 olarak sınıflandırıyor ve dahili olarak 2524777 numarasıyla takip ediyor.

Appliance modu koruma sağlamıyor

Danışma belgesi kusuru control plane maruziyeti olmayan bir data plane sorunu olarak tanımlıyor ve Appliance modunda çalışan sistemlerin de zafiyetli olduğunu açıkça belirtiyor. Appliance modu, yönetim ve shell erişimini kapatarak altta yatan işletim sistemini sağlamlaştırmak için var; ancak overflow'a, trafik işleyen mikroçekirdek sıradan istekleri ele alırken ulaşılabiliyor. Yönetim arayüzlerini kapatmak burada hiçbir şeyi değiştirmiyor, çünkü kötü niyetli istek meşru uygulama trafiğinin kullandığı aynı listener'a geliyor. dev.to aracılığıyla aktarılan Rapid7'nin operasyonel sonuca göre, bu yapılandırmayı ağ kenarında çalıştıran kuruluşlar düzeltmeye öncelik vermelidir.

Savunmacıların harekete geçebileceği tespit göstergeleri

F5'nin yönergeleri istismarı tek bir olaydan ziyade tanınabilir bir dizilim olarak tanımlıyor: yinelenen OAuth kimlik doğrulama hataları, hemen ardından audit log içindeki şüpheli komut etkinliği ve sonra bir TMM çökmesi. Hata sinyalinde, danışma belgesi tek bir IP adresinden gelen yaklaşık on veya daha fazla log kaydının incelenmeyi hak ettiğini öneriyor. Kapanış göstergesi ise trafik mikroçekirdeği bir döngüye girdiğinde ve SOM daemon'u onu SIGABRT ile durdurduğunda üretilen bir core dosyası. Her bir sinyal tek başına yoğun bir gateway'de rutin gürültüdür; olayı işaretleyen şey sıralamadır ve üretici, yakın zamanda birlikte gözlenen üç göstergenin soruşturmayı hak ettiğini söylüyor. F5 ayrıca yöneticileri global OAuth istatistik sayaçlarına yönlendiriyor; burada chasılacak sayı, başarısız toplamındaki açıklanamayan artıştır.

Yama ve geçici hafifletme

Düzeltme, etkilenen her dal için birer engineering hotfix olarak geliyor: 21.1.0 için Hotfix-BIGIP-21.1.0.2.0.30.22-ENG, 17.5.x hattı için Hotfix-BIGIP-17.5.1.9.0.160.12-ENG ve 17.1.x hattı için Hotfix-BIGIP-17.1.3.5.0.41.14-ENG. Hotfix kurulumu bir bakım olayı olduğundan F5, yama penceresi planlanırken kötü niyetli trafik desenini bastıran geçici bir iRule de yayımladı. dev.to'ya göre CISA ayrıca nihai yama uygulanmadan önce adli tarama talep ediyor; böylece daha önceki herhangi bir sızma yalnızca üzerine yama vurularak geçiştirilmiyor.

Neden önemli

Bu, internete açık kimlik altyapısında, üretici tarafından doğrulanmış istismar ve CISA'nın aynı gündeki KEV listesiyle birlikte, kimlik doğrulaması gerektirmeyen bir uzaktan kod çalıştırma açığı. Maruziyeti kontrol etmek ucuz ve kesin: bir ekip yalnızca herhangi bir virtual server'ın bir APM access policy ile OAuth Authorization Server profilini birleştirip birleştirmediğini sorgulamalı ve yanıt, kurulumu derhâl etkilenen kümenin içine ya da dışına yerleştirir. Sağlamlaştırılmış Appliance modundaki sistemler muaf tutulmuyor, çünkü kusur yönetim düzleminde değil istek yolunda yaşıyor. Son olarak, yayımlanan gösterge zaman çizelgesi savunmacılara, hotfix gelmeden önce mevcut logları geçmiş girişimler için taramanın somut bir yolunu sunuyor; bu da zafiyetin sahada hâlihazırda kullanılmış olması durumunda önem taşıyor.