Análise de um RCE pré-autenticação no F5 BIG-IP: heap overflow via cabeçalho Authorization

Pesquisadores da watchTowr publicaram uma análise técnica da vulnerabilidade crítica CVE-2026-94127 no F5 BIG-IP — um heap overflow não autenticado que leva à execução remota de código (RCE) no dispositivo. A F5 confirmou que a vulnerabilidade foi explorada como zero-day antes de um patch estar disponível, e em 22 de setembro foi adicionada ao catálogo CISA KEV. A pontuação CVSSv4.0 é 9.3.

O que é o F5 BIG-IP APM BIG-IP é a linha da F5 de appliances de rede (balanceadores de carga, gateways de acesso, ADCs) que ficam no perímetro de muitas grandes organizações. O módulo Access Policy Manager (APM) lida com autenticação e controle de acesso e, em particular, pode atuar como servidor OAuth. É precisamente nesse papel que reside o problema.

Causa raiz O bug está no tratamento do cabeçalho HTTP Authorization no endpoint /f5-oauth2/v1/userinfo dentro do processo tmm (Traffic Management Microkernel). O código aloca um buffer fixo de 0x4100 bytes no heap, mas não verifica o comprimento do cabeçalho recebido antes de copiá-lo. O patch da F5 adiciona exatamente essa verificação — if (v20 > 0x4100) com o erro "Authorization header too big"; as versões vulneráveis não a possuem, então um cabeçalho muito longo é copiado além do limite do buffer.

Uma única requisição não autenticada é suficiente para acioná-lo: GET /f5-oauth2/v1/userinfo HTTP/1.1 Authorization: Bearer AAAA… (mais longo que 0x4100 bytes)

Do overflow à execução de código A watchTowr levou a cadeia até o RCE completo: • o overflow corrompe metadados do heap; em cerca de 90% das execuções, um objeto contendo um ponteiro de função fica próximo (no offset buffer + 0x4ff8); • após sobrescrever esse ponteiro, os pesquisadores sequestraram o fluxo de controle através do gadget mov r9, [rdi]; call r9, e então usaram gadgets de stack-pivot para construir uma cadeia ROP para execução de código; • eles contornaram a restrição do SELinux sobre iniciar um shell diretamente anexando comandos ao script crash-hook /etc/bigstart/scripts/tmm.finish — estes são executados quando o processo tmm reinicia.

Quem é afetado • A vulnerabilidade NÃO está presente na configuração padrão: ela requer um virtual server que tenha tanto uma política de acesso APM quanto um perfil de servidor de autorização OAuth configurados. Um sinal indireto de um host potencialmente vulnerável é um endpoint /f5-oauth2/v1/userinfo exposto. • Os branches afetados são BIG-IP 21.1.0, 17.5.x e 17.1.x antes dos respectivos hotfixes (Hotfix-BIGIP-21.1.0.2.0.30.22-ENG, -17.5.1.9.0.160.12-ENG, -17.1.3.5.0.41.14-ENG). Um PoC público não havia sido confirmado no momento da publicação. Para aqueles que não podem aplicar o patch imediatamente, a F5 oferece uma solução alternativa via iRule.

O que isso significa para pentesters O F5 BIG-IP é um alvo de perímetro clássico de alto valor: um comprometimento dá um ponto de apoio inicial na rede interna e acesso ao tráfego que passa por ele. • um RCE pré-autenticação alcançável com uma única requisição, sem pré-requisitos de autenticação, é exatamente o que deve ser verificado primeiro no perímetro externo; • o marcador a procurar é um endpoint /f5-oauth2/v1/userinfo exposto; • a vulnerabilidade já está no CISA KEV e está sendo explorada ativamente: para blue teams é prioridade aplicar os hotfixes, e para red teams é um vetor atual de acesso inicial.