तो आठवडा जेव्हा ओळख जारी करणारा स्वतः कोसळला — F5 BIG-IP APM OAuth शून्य-दिवस (CVE-2026-94127) आणि व्यवस्थापन व ओळख प्लेनवर KEV चे केंद्रीकरण
F5 ने 22 सप्टेंबर रोजी उघड केले की BIG-IP APM च्या OAuth मार्गातील एक गंभीर शून्य-दिवस (CVE-2026-94127, CVSS 9.8) अप्रमाणित रिमोट कोड एक्झिक्यूशनला परवानगी देतो, आणि रानातील शोषणाची पुष्टी केली. CISA ने त्याच दिवशी तो KEV कॅटलॉगमध्ये जोडला, संघीय मुदत 25 सप्टेंबर. Arista VCO आणि Check Point चे 2 व्यवस्थापन-सर्व्हर दोषही त्या दिवशी KEV मध्ये आले — आम्ही सीमा उपकरणांच्या व्यवस्थापन आणि ओळख प्लेनवरील हल्ल्यांच्या अभिसरणाची तपासणी करतो.
हा लेख मशीनने अनुवादित केला आहे.
22 सप्टेंबर 2026 रोजी F5 ने BIG-IP Access Policy Manager (APM) मधील CVE-2026-94127 (अंतर्गत ID 2524777) उघड केला. जेव्हा व्हर्च्युअल सर्व्हरवर APM ऍक्सेस पॉलिसी आणि OAuth प्रोफाइल कॉन्फिगर केलेले असतात, तेव्हा विशिष्ट दुर्भावनापूर्ण ट्रॅफिक रिमोट कोड एक्झिक्यूशन (RCE) कडे नेऊ शकते — हीप-आधारित बफर ओव्हरफ्लो (CWE-122) — ज्याचा CVSS v3.1 स्कोअर 9.8 आहे (F5 ने अहवाल दिल्याप्रमाणे) आणि CVSS v4.0 चा 9.3 (F5 ने NVD मार्फत अहवाल दिल्याप्रमाणे). दोष त्या तैनातींपुरता मर्यादित आहे जिथे BIG-IP APM OAuth Authorization Server म्हणून कॉन्फिगर केलेला आहे; APM ला कठोरपणे Client / Resource Server म्हणून वापरणाऱ्या तैनाती प्रभावित नाहीत. F5 म्हणते की ते 'जाणते की या भेद्यतेचे शोषण झाले आहे' आणि नोंदवते की दोष अंतर्गत सापडला. हा डेटा-प्लेनचा मुद्दा आहे, कंट्रोल-प्लेन एक्सपोजरशिवाय, आणि Appliance मोडमधील BIG-IPही असुरक्षित आहे. प्रभावित रिलीझ आहेत 21.1.0 (Hotfix-BIGIP-21.1.0.2.0.30.22-ENG मध्ये दुरुस्त), 17.5.0-17.5.1 (Hotfix-BIGIP-17.5.1.9.0.160.12-ENG मध्ये दुरुस्त), आणि 17.1.0-17.1.3 (Hotfix-BIGIP 17.1.3.5.0.41.14-ENG मध्ये दुरुस्त); BIG-IP Next, F5 Distributed Cloud, NGINX, आणि F5OS प्रभावित नाहीत (F5 सल्ला K000162605).
CISA ने 22 सप्टेंबर रोजी ही भेद्यता आपल्या KEV कॅटलॉगमध्ये जोडली, आणि संघीय नागरी एजन्सींना प्रतिसाद देण्यासाठी 25 सप्टेंबरपर्यंत मुदत दिली (BOD 26-04, सूचीकरणापासून 3 दिवस). ती फॉरेन्सिक ट्रायजच्या अधीन आहे, आणि CISA च्या KEV नोंदी ऑपरेटरना निर्देश देतात की विक्रेत्याने दिलेला iRule तात्पुरता शमन म्हणून लावावा, मग अंतिम पॅच शक्य तितक्या लवकर बसवावा. F5 देखील प्रभावित व्हर्च्युअल सर्व्हरसाठी iRule शमन देते, जे F5 सपोर्टमार्फत उपलब्ध आहे. तडजोड मूल्यांकनासाठी F5 ने 3 तडजोड निर्देशक प्रसिद्ध केले, ज्यांना CERT-EU चा सल्ला (2026-013) 4-टप्प्यांच्या पुनरावलोकनात रचतो: /var/log/apm मध्ये वारंवार OAuth प्रमाणीकरण अपयश (invalid_token), tmctl global_oauth_stat मार्फत total_failed मध्ये न समजणारी वाढ, त्या टाइमस्टॅम्पभोवती /var/log/audit मधील संशयास्पद कमांड, आणि तो TMM लूप जो SOD डिमनला SIGABRT पाठवतो (एकट्या TMM कोर फाइलची उपस्थिती निर्देशक नाही) — हल्ल्याशी सहसंबंध यांचे संयोजन आणि वारंवारता आहे (The Hacker News, CISA चा KEV कॅटलॉग, आणि CERT-EU प्रमाणे).
विश्लेषण (तथ्यांपासून वेगळे): लक्षात घेण्यासारखे एकल CVE पेक्षा कमी, 22 सप्टेंबर रोजी KEV कॅटलॉगमध्ये उतरलेल्या 4 नोंदींची रचना अधिक आहे: हा F5 BIG-IP APM दोष, तसेच Arista VeloCloud Orchestrator (CVE-2026-93952) आणि Check Point चे 2 व्यवस्थापन-सर्व्हर दोष (CVE-2026-93616 / CVE-2026-85102). त्यांचा सामायिक धागा हा आहे की वितरित नेटवर्क फंक्शन्सचे 'व्यवस्थापन आणि ओळख प्लेन' लक्ष्य आहेत. गेल्या आठवड्यात या वेधशाळेने Cisco ISE व्यवस्थापन-API प्रमाणीकरण बायपास (CVE-2026-76460) कव्हर केला होता आणि ही समस्या की तडजोड झालेल्या उपकरणाचे स्वतःचे लॉग आता प्राथमिक स्रोत राहत नाहीत. हा प्रकरण ते एक पाऊल पुढे नेतो: जिथे APM OAuth अधिकृतता सर्व्हर म्हणून वापरला जातो, उपकरण स्वतः प्रभावीपणे ओळख जारी करणारे आहे, आणि त्याच्या डेटा प्लेनवरील अप्रमाणित RCE जारी करणाऱ्याला स्वतः पकडण्याचा अर्थ घेऊन येते. F5 ने दोष अंतर्गत शोधला ही वस्तुस्थिती उघडकीपूर्वी रानातील शांत शोषणाची खिडकी सुचवते; शोषण करणाऱ्या पक्षाचे आरोपण अजून सार्वजनिक नाही.
संरक्षणात्मक परिणाम: (1) जर तुम्ही BIG-IP APM OAuth अधिकृतता सर्व्हर म्हणून चालवत असाल, तर जुळणारा हॉटफिक्स (किंवा त्याच शाखेवरील नंतरची रिलीझ) आधी लावा. APM ला कठोरपणे क्लायंट / रिसोर्स सर्व्हर म्हणून वापरणाऱ्या तैनाती कक्षेबाहेर आहेत, पण ज्या हायब्रिड कॉन्फिगरेशनमध्ये अधिकृतता-सर्व्हर प्रोफाइल आहे त्यांना प्रति-व्हर्च्युअल-सर्व्हर यादी हवी. (2) जिथे पॅचपूर्वी iRule शमन लावला जातो, तो शमन म्हणून नोंदवा — CISA च्या नोंदीप्रमाणे, अंतिम पॅचसोबत जोडायची तात्पुरती व्यवस्था. (3) उपकरणावरच CERT-EU ची 4-टप्प्यांची ओळख चालवा (OAuth-अपयशाची पुनरावृत्ती, total_failed, ऑडिट लॉग, TMM कोर), आणि APM कडे जाणाऱ्या ट्रॅफिकसाठी फायरवॉल / NetFlow इतिहासाचे पुनरावलोकन करा, या गृहीतावर की उपकरणाचे स्वतःचे लॉग आता प्राथमिक स्रोत राहू शकत नाहीत. (4) त्याच नजरेने, 'व्यवस्थापन आणि ओळख प्लेन' मालमत्तेच्या एक्सपोजरची यादी करा — Arista VCO आणि Check Point व्यवस्थापन सर्व्हर धरून — प्रति-CVE पॅचिंगसोबत. येथील तथ्ये F5 च्या सल्ल्यावर (https://my.f5.com/manage/s/article/K000162605), CISA KEV कॅटलॉगवर (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), NVD CVE नोंदीवर (https://nvd.nist.gov/vuln/detail/CVE-2026-94127), CERT-EU सल्ला 2026-013 वर (https://cert.europa.eu/publications/security-advisories/2026-013/), The Hacker News वर (https://thehackernews.com/2026/09/f5-patches-critical-big-ip-apm-zero-day.html), आणि SecurityWeek वर (https://www.securityweek.com/critical-f5-big-ip-vulnerability-exploited-as-zero-day/) आधारित आहेत. विश्लेषण अहवालापासून वेगळे ठेवले आहे.