যে সপ্তাহে পরিচয় প্রদানকারী নিজেই পড়ল — F5 BIG-IP APM OAuth জিরো-ডে (CVE-2026-94127) এবং ব্যবস্থাপনা ও পরিচয় প্লেনে KEV-এর ঘনত্ব
F5 22 সেপ্টেম্বর প্রকাশ করেছে যে BIG-IP APM-এর OAuth পথে একটি গুরুতর জিরো-ডে (CVE-2026-94127, CVSS 9.8) অপ্রমাণিত দূরবর্তী কোড কার্যকরের অনুমতি দেয়, এবং বন্য পরিবেশে শোষণ নিশ্চিত করেছে। CISA একই দিনে এটি KEV ক্যাটালগে যোগ করেছে, ফেডারেল সময়সীমা 25 সেপ্টেম্বর। Arista VCO এবং Check Point-এর 2টি ব্যবস্থাপনা-সার্ভার ত্রুটিও সেদিন KEV-তে ঢুকেছে — আমরা সীমানা যন্ত্রের ব্যবস্থাপনা ও পরিচয় প্লেনে হামলার অভিসারণ পরীক্ষা করি।
এই নিবন্ধটি মেশিনে অনুবাদ করা হয়েছে।
22 সেপ্টেম্বর 2026-এ F5 BIG-IP Access Policy Manager (APM)-এ CVE-2026-94127 (অভ্যন্তরীণ ID 2524777) প্রকাশ করেছে। যখন একটি ভার্চুয়াল সার্ভারে APM অ্যাক্সেস পলিসি ও একটি OAuth প্রোফাইল কনফিগার করা থাকে, নির্দিষ্ট ক্ষতিকর ট্র্যাফিক দূরবর্তী কোড কার্যকরে (RCE) নিয়ে যেতে পারে — একটি হিপ-ভিত্তিক বাফার ওভারফ্লো (CWE-122) — যার CVSS v3.1 স্কোর 9.8 (F5-এর প্রতিবেদন অনুসারে) এবং CVSS v4.0-এর 9.3 (F5 NVD-এর মাধ্যমে যেভাবে প্রতিবেদন করেছে)। ত্রুটিটি সেই স্থাপনায় সীমাবদ্ধ যেখানে BIG-IP APM একটি OAuth Authorization Server হিসেবে কনফিগার; যে স্থাপনা APM-কে কঠোরভাবে Client / Resource Server হিসেবে ব্যবহার করে সেগুলো প্রভাবিত নয়। F5 বলে যে তারা 'জানে যে এই দুর্বলতা শোষিত হয়েছে' এবং নোট করে যে ত্রুটিটি অভ্যন্তরীণভাবে আবিষ্কৃত। এটি একটি ডেটা-প্লেন বিষয়, কন্ট্রোল-প্লেন এক্সপোজার ছাড়া, এবং Appliance মোডে BIG-IP-ও ঝুঁকিপূর্ণ। প্রভাবিত রিলিজ হলো 21.1.0 (ঠিক করা হয়েছে Hotfix-BIGIP-21.1.0.2.0.30.22-ENG-এ), 17.5.0-17.5.1 (ঠিক করা হয়েছে Hotfix-BIGIP-17.5.1.9.0.160.12-ENG-এ), এবং 17.1.0-17.1.3 (ঠিক করা হয়েছে Hotfix-BIGIP 17.1.3.5.0.41.14-ENG-এ); BIG-IP Next, F5 Distributed Cloud, NGINX, এবং F5OS প্রভাবিত নয় (F5 পরামর্শ K000162605)।
CISA 22 সেপ্টেম্বর দুর্বলতাটি তার KEV ক্যাটালগে যোগ করেছে, ফেডারেল বেসামরিক সংস্থাগুলোকে সাড়া দেওয়ার জন্য 25 সেপ্টেম্বর পর্যন্ত সময় দিয়ে (BOD 26-04, তালিকাভুক্তির 3 দিন পর)। এটি ফরেনসিক ট্রায়াজের অধীন, এবং CISA-এর KEV নোট অপারেটরদের নির্দেশ দেয় বিক্রেতার দেওয়া iRule অস্থায়ী প্রশমন হিসেবে লাগাতে, তারপর চূড়ান্ত প্যাচ যত তাড়াতাড়ি সম্ভব বসাতে। F5ও প্রভাবিত ভার্চুয়াল সার্ভারের জন্য একটি iRule প্রশমন দেয়, যা F5 সাপোর্টের মাধ্যমে পাওয়া যায়। আপস মূল্যায়নের জন্য F5 3টি আপসের নির্দেশক প্রকাশ করেছে, যেগুলোকে CERT-EU-এর পরামর্শ (2026-013) একটি 4-ধাপের পর্যালোচনায় সাজায়: /var/log/apm-এ বারবার OAuth প্রমাণীকরণ ব্যর্থতা (invalid_token), tmctl global_oauth_stat-এর মাধ্যমে total_failed-এর ব্যাখ্যাতীত বৃদ্ধি, সেই টাইমস্ট্যাম্পের আশেপাশে /var/log/audit-এ সন্দেহজনক কমান্ড, এবং সেই TMM লুপ যা SOD ডেমনকে SIGABRT পাঠায় (একা একটি TMM কোর ফাইলের উপস্থিতি নির্দেশক নয়) — হামলার সঙ্গে সম্পর্ক এগুলোর সমন্বয় ও পুনরাবৃত্তি (The Hacker News, CISA-এর KEV ক্যাটালগ, এবং CERT-EU অনুসারে)।
বিশ্লেষণ (তথ্য থেকে পৃথক): মনোযোগের যোগ্য বিষয় একক CVE-এর চেয়ে কম, 22 সেপ্টেম্বর KEV ক্যাটালগে নামা 4টি এন্ট্রির গঠন বেশি: এই F5 BIG-IP APM ত্রুটি, সাথে Arista VeloCloud Orchestrator (CVE-2026-93952) এবং Check Point-এর 2টি ব্যবস্থাপনা-সার্ভার ত্রুটি (CVE-2026-93616 / CVE-2026-85102)। তাদের সাধারণ সূত্র হলো বিতরণকৃত নেটওয়ার্ক ফাংশনের 'ব্যবস্থাপনা ও পরিচয় প্লেন' লক্ষ্য। গত সপ্তাহে এই পর্যবেক্ষণাগার Cisco ISE ব্যবস্থাপনা-API প্রমাণীকরণ বাইপাস (CVE-2026-76460) কভার করেছিল এবং এই সমস্যা যে আপস হওয়া যন্ত্রের নিজের লগ আর প্রাথমিক উৎস থাকে না। এই ঘটনা সেটিকে এক ধাপ এগিয়ে নিয়ে যায়: যেখানে APM একটি OAuth অনুমোদন সার্ভার হিসেবে ব্যবহৃত হয়, যন্ত্রটি নিজেই কার্যত পরিচয় প্রদানকারী, এবং তার ডেটা প্লেনে একটি অপ্রমাণিত RCE প্রদানকারীকেই ধরার অর্থ বহন করে। F5 ত্রুটিটি অভ্যন্তরীণভাবে আবিষ্কার করেছে এই তথ্য প্রকাশের আগে বন্য পরিবেশে একটি শান্ত শোষণের জানালার ইঙ্গিত দেয়; শোষণকারী পক্ষের আরোপ এখনো প্রকাশ্য নয়।
প্রতিরক্ষামূলক তাৎপর্য: (1) আপনি যদি BIG-IP APM একটি OAuth অনুমোদন সার্ভার হিসেবে চালান, মিলযুক্ত হটফিক্স (বা একই শাখায় পরের রিলিজ) আগে লাগান। APM-কে কঠোরভাবে ক্লায়েন্ট / রিসোর্স সার্ভার হিসেবে ব্যবহারকারী স্থাপনা পরিধির বাইরে, কিন্তু যে হাইব্রিড কনফিগারেশনে অনুমোদন-সার্ভার প্রোফাইল আছে তাদের প্রতি-ভার্চুয়াল-সার্ভার তালিকা দরকার। (2) যেখানে প্যাচের আগে iRule প্রশমন বসানো হয়, তাকে প্রশমন হিসেবে লিপিবদ্ধ করুন — CISA-এর নোট অনুসারে, চূড়ান্ত প্যাচের সঙ্গে জোড়া দেওয়ার অস্থায়ী ব্যবস্থা। (3) যন্ত্রের ওপরেই CERT-EU-এর 4-ধাপের শনাক্তকরণ চালান (OAuth-ব্যর্থতার পুনরাবৃত্তি, total_failed, অডিট লগ, TMM কোর), এবং APM-এর দিকে ট্র্যাফিকের জন্য ফায়ারওয়াল / NetFlow ইতিহাস পর্যালোচনা করুন, এই ভিত্তিতে যে যন্ত্রের নিজের লগ আর প্রাথমিক উৎস না-ও থাকতে পারে। (4) একই দৃষ্টিতে, 'ব্যবস্থাপনা ও পরিচয় প্লেন' সম্পদের এক্সপোজারের তালিকা করুন — Arista VCO ও Check Point ব্যবস্থাপনা সার্ভারসহ — প্রতি-CVE প্যাচিংয়ের পাশাপাশি। এখানকার তথ্য F5-এর পরামর্শ (https://my.f5.com/manage/s/article/K000162605), CISA KEV ক্যাটালগ (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), NVD CVE রেকর্ড (https://nvd.nist.gov/vuln/detail/CVE-2026-94127), CERT-EU পরামর্শ 2026-013 (https://cert.europa.eu/publications/security-advisories/2026-013/), The Hacker News (https://thehackernews.com/2026/09/f5-patches-critical-big-ip-apm-zero-day.html), এবং SecurityWeek (https://www.securityweek.com/critical-f5-big-ip-vulnerability-exploited-as-zero-day/)-এর ওপর টানা। বিশ্লেষণকে প্রতিবেদন থেকে পৃথক রাখা হয়েছে।