F5 meldt actief misbruikt lek in BIG-IP APM waarmee aanvallers zonder login code kunnen uitvoeren. Snel patch is aan de orde.
F5 heeft een kritieke kwetsbaarheid in BIG-IP APM ontdekt en verholpen. De kwetsbaarheid laat aanvallers zonder inloggegevens toe om code uit te voeren op getroffen systemen. Het bedrijf bevestigt dat de fout (CVE-2026-94127) al actief wordt uitgebuit.
De kwetsbaarheid zit in Access Policy Manager (APM). Dat is de module van F5 die toegangsbeleid en authenticatie regelt op BIG-IP-systemen. Beheerders gebruiken die module om netwerktoegang te configureren en beveiligen. De component die instaat voor de beveiliging van de voordeur, blijkt nu zelf defect, wat verklaart waarom de bug een CVSS-score van 9,8 (4.0) krijgt, en dus kritiek is.
Wat loopt er mis?
Het probleem ontstaat wanneer een BIG-IP APM-toegangsbeleid samen met een OAuth-profiel geconfigureerd staat op een virtuele server, en het systeem daarbij optreedt als OAuth Authorization Server. Kwaadaardig verkeer kan in dat scenario een bufferoverflow op de heap veroorzaken, wat uiteindelijk leidt tot remote code execution. Bedrijven die APM enkel als OAuth-client of resource server inzetten, zonder een authorization server-profiel, lopen geen risico.
Belangrijk is dat een aanvaller geen authenticatie nodig heeft om het lek te misbruiken. Het gaat bovendien om een probleem op het dataplane, niet op het controlplane, wat betekent dat het beheer van het toestel zelf niet rechtstreeks blootgesteld is. F5 benadrukt dat in zijn advies.
Getroffen versies en herstel
De kwetsbaarheid treft BIG-IP APM in de 21.x-tak vanaf versie 21.1.0, en in de 17.x-tak de versies 17.5.0 tot 17.5.1 en 17.1.0 tot 17.1.3. F5 voorziet hotfixes voor elke getroffen variant. Andere BIG-IP-modules, BIG-IQ, F5OS, NGINX en de Distributed Cloud-diensten zijn niet vatbaar voor deze bug.
Bedrijven die de patch nog niet kunnen installeren, kunnen een tijdelijke iRule toepassen op de betrokken virtuele server. Die maatregel is verkrijgbaar via de klantendienst van F5. Het bedrijf raadt organisaties ook aan om logbestanden te controleren op herhaalde OAuth-fouten vanaf een enkel IP-adres, gevolgd door verdachte commando’s en een crash van het TMM-proces. Die combinatie van signalen wijst mogelijk op een actieve aanval.
Snel patchen blijft noodzakelijk
Omdat de kwetsbaarheid al actief wordt uitgebuit, raadt F5 aan om zo snel mogelijk te patchen of de mitigatie toe te passen. Organisaties die BIG-IP APM met OAuth-authenticatie gebruiken, doen er goed aan hun systemen te controleren en te updaten. Even door de logs ploegen opzoek naar tekenen van blootstelling, kan evenmin kwaad.