CVE-2026-94127

Nome do Software Vulnerável e Versões Afetadas BIG-IP APM versão 21.1.0 BIG-IP APM versões 17.5.0 a 17.5.1 BIG-IP APM versões 17.1.0 a 17.1.3

Descrição Um estouro de buffer baseado em heap não autenticado ocorre quando o BIG-IP APM é configurado como um Servidor de Autorização OAuth com uma política de acesso e um perfil OAuth em um servidor virtual. Este problema permite que um invasor remoto execute código arbitrário no plano de dados. A vulnerabilidade é acionada pelo envio de uma requisição HTTP maliciosa com um cabeçalho Authorization excessivamente longo para o endpoint '/f5-oauth2/v1/userinfo', que excede o buffer alocado de 0x4100 bytes no processo tmm (Traffic Management Microkernel). Esta falha foi explorada ativamente e afeta sistemas em modo Appliance. Implantações usando APM estritamente como Cliente OAuth ou Servidor de Recursos não são afetadas.

Recomendações Para BIG-IP APM versão 21.1.0, aplique o Hotfix-BIGIP-21.1.0.2.0.30.22-ENG. Para BIG-IP APM versões 17.5.0 a 17.5.1, aplique o Hotfix-BIGIP-17.5.1.9.0.160.12-ENG. Para BIG-IP APM versões 17.1.0 a 17.1.3, aplique o Hotfix-BIGIP-17.1.3.5.0.41.14-ENG. Como mitigação temporária, solicite e aplique a iRule específica do Suporte da F5 para os servidores virtuais afetados. Restrinja o acesso aos servidores virtuais afetados em um limite upstream confiável para reduzir a exposição.