Indice dell'articolo
Rischio e azione: se gestite F5 BIG-IP APM come OAuth Authorization Server, identificate subito i virtual server interessati, preservate le evidenze e installate l’hotfix F5 corretto. La vulnerabilità CVE-2026-94127 consente esecuzione di codice da remoto senza autenticazione ed è già stata sfruttata.
Il prerequisito che determina l’esposizione
Non ogni sistema BIG-IP è vulnerabile. F5 limita il problema alle installazioni BIG-IP APM in cui un access policy e un profilo OAuth sono configurati sullo stesso virtual server e APM opera come OAuth Authorization Server. Le installazioni usate esclusivamente come OAuth Client o Resource Server, senza profili Authorization Server, non risultano coinvolte. Anche Appliance mode è vulnerabile.
Si tratta di un difetto heap-based buffer overflow sul data plane, non di un’esposizione del control plane. Limitare la sola interfaccia di gestione non elimina quindi il rischio: il traffico malevolo raggiunge il virtual server applicativo.
Versioni e hotfix
L’advisory F5, aggiornato il 23 settembre, indica CVSS 9,8 e queste combinazioni: BIG-IP APM 21.1.0 prima di Hotfix-BIGIP-21.1.0.2.0.30.22-ENG.iso; 17.5.0-17.5.1 prima di Hotfix-BIGIP-17.5.1.9.0.160.12-ENG.iso; 17.1.0-17.1.3 prima di Hotfix-BIGIP-17.1.3.5.0.41.14-ENG.iso. Le release arrivate a fine supporto non sono state valutate: l’assenza dalla tabella non equivale a sicurezza.
Se l’hotfix non può essere applicato immediatamente, F5 mette a disposizione tramite supporto una iRule per il virtual server interessato. È una mitigazione temporanea, non un sostituto permanente dell’aggiornamento. Prima della modifica salvate configurazione, stato del cluster e piano di rollback; dopo l’installazione verificate HA, traffico applicativo, autenticazione OAuth e telemetria.
Patching e incident response non sono la stessa attività
Installare l’hotfix riduce l’esposizione futura, ma non dimostra che l’appliance non sia stata attaccata prima. F5 segnala una combinazione da sottoporre a revisione umana: ripetuti errori OAuth, comandi sospetti nel log di audit e, poco dopo, un TMM terminato con SIGABRT.
Gli errori OAuth isolati sono normali in alcuni ambienti. F5 considera anomala la ripetizione sostenuta, almeno dieci eventi in un log, soprattutto se provenienti dallo stesso indirizzo IP. In /var/log/apm va cercata la ripetizione di errori invalid_token; il comando tmctl global_oauth_stat -s total_requests,total_userinfo_requests,total_failed aiuta a individuare aumenti non spiegati. Le finestre temporali corrispondenti vanno poi correlate con /var/log/audit e con eventuali core file TMM.
Nessuno di questi segnali, da solo, prova una compromissione. Se però la combinazione è presente, preservate log, core, configurazione e orari prima di riavviare o ripristinare; isolate il nodo secondo l’architettura HA e avviate il processo di risposta all’incidente.
Checklist operativa
- Inventariare BIG-IP APM e identificare i virtual server con OAuth Authorization Server.
- Registrare branch, build, hotfix presenti, ruolo HA ed esposizione del data plane.
- Preservare configurazione e log prima della modifica.
- Scaricare da F5 Downloads l’hotfix esatto per il branch e validarne integrità e compatibilità.
- Applicare prima sul nodo previsto dal runbook, verificare failover e poi completare il cluster.
- Controllare autenticazione OAuth, disponibilità applicativa e metriche dopo l’intervento.
- Correlare errori OAuth, audit e TMM SIGABRT nel periodo precedente alla patch.
- Aprire un incidente quando i segnali convergono; non cancellare prove con reset prematuri.
- Pianificare la migrazione delle versioni fuori supporto invece di considerarle escluse.
Limiti della valutazione
F5 non pubblica nell’advisory dettagli completi sulla campagna o un indicatore singolo capace di certificare l’assenza di compromissione. La priorità deriva dalla combinazione di RCE senza autenticazione, sfruttamento confermato e collocazione sul percorso applicativo. Anche CERT-EU raccomanda di preservare le prove, applicare l’hotfix e verificare i segni di compromissione.
Devi verificare appliance, hotfix e log senza interrompere i servizi? Richiedi una valutazione tecnica a MSP In Cloud.