Alerta de Vulnerabilidade - F5 BIG-IP APM

Vulnerabilidade de heap-based buffer overflow (CWE-122) no F5 BIG-IP Access Policy Manager, com o identificador CVE-2026-94127/EUVD-2026-84427 [1][2][3]. O Access Policy Manager (APM) é o módulo do BIG-IP que controla o acesso dos utilizadores às aplicações e redes da organização. Quando um virtual server tem configurados em simultâneo uma access policy do APM e um perfil OAuth, ou seja, quando o APM opera como servidor de autorização OAuth, tráfego malicioso dirigido a esse virtual server corrompe a memória no Traffic Management Microkernel (TMM), o processo do plano de dados, e permite a execução de código arbitrário [1].

A F5 confirma no advisory que a vulnerabilidade está a ser explorada. A exploração é remota, não requer autenticação nem interação, e o BIG-IP em Appliance mode também é afetado. Por ser uma vulnerabilidade do plano de dados, sem exposição do plano de controlo, restringir o acesso à interface de gestão não elimina a exposição enquanto o virtual server afetado continuar a receber tráfego [1].

São afetadas as ramificações 21.1.0, 17.5.x e 17.1.x do BIG-IP APM na configuração descrita; as versões em fim de suporte técnico (EoTS) não foram avaliadas. Só estão expostos os sistemas em que exista um virtual server com uma access policy do APM e um perfil OAuth em simultâneo, o que não é a configuração predefinida [1].

A exploração é remota e não autenticada, sem interação do utilizador, e afeta apenas os virtual servers configurados com uma access policy do APM e um perfil OAuth em simultâneo [1].

Da corrupção de memória no TMM resulta a execução de código arbitrário no BIG-IP, comprometendo o dispositivo que faz a mediação do acesso às aplicações da organização [1].

Recomenda-se a aplicação do engineering hotfix correspondente à versão instalada, conforme o K000162605 [1]:

• BIG-IP 21.1.0: Hotfix-BIGIP-21.1.0.2.0.30.22-ENG
• BIG-IP 17.5.x: Hotfix-BIGIP-17.5.1.9.0.160.12-ENG
• BIG-IP 17.1.x: Hotfix-BIGIP-17.1.3.5.0.41.14-ENG

Confirmar o build exato para a versão em uso no K000162605; a correção é um engineering hotfix (ENG), não uma versão de manutenção regular [1].

Medidas adicionais de mitigação e deteção:

• Quando não é possível aplicar de imediato o hotfix, solicitar ao F5 Support o iRule de mitigação temporária, aplicá-lo ao virtual server afetado e removê-lo após a instalação do hotfix [1].
• Inventariar os virtual servers que tenham simultaneamente uma access policy do APM e um perfil OAuth, que são os únicos expostos. Como reforço temporário, restringir o tráfego de entrada nesse virtual server a gamas de IP de cliente conhecidas ou remover uma das duas ligações (access policy ou perfil OAuth).
• Para deteção, a F5 indica como padrão a investigar a combinação, próxima no tempo, de múltiplas falhas de autenticação OAuth, seguidas de comandos suspeitos e de um encerramento do TMM por SIGABRT; a presença isolada de cada indicador não confirma ataque, mas a sua combinação e frequência têm correlação com exploração [1].
• Perante estes indícios, tratar o dispositivo como potencialmente comprometido e realizar uma investigação forense antes de o repor em produção.

[1] - https://my.f5.com/manage/s/article/K000162605
[2] - https://www.cve.org/CVERecord?id=CVE-2026-94127
[3] - https://euvd.enisa.europa.eu/vulnerability/EUVD-2026-84427