CVE-2026-94127 — أداة كشف F5 BIG-IP APM (دفاعية)

المؤلف: https://github.com/FurkanKAYAPINAR/

أداة كشف دفاعية، غير استغلالية لـ CVE-2026-94127، وهو تجاوز سعة المخزن المؤقت المعتمد على الكومة (CWE-122) في F5 BIG-IP APM يسمح لـ مهاجم بعيد غير مُصادَق بتحقيق تنفيذ تعليمات برمجية عن بُعد (RCE).

• CVSS 3.1: 9.8 / CVSS 4.0: 9.3 (حرج)
• يُستغل بنشاط في البرية — مُدرَج في كتالوج CISA KEV.
• إرشاد F5 K000162605، نُشر في 2026-09-22.
• الموعد النهائي للمعالجة الفيدرالية من CISA: 2026-09-25.

يحتوي هذا المستودع على أدوات الكشف والمعالجة فقط. وهو لا يحتوي على استغلال مُسلَّح أو إثبات مفهوم لتحقيق تنفيذ التعليمات البرمجية. راجع النطاق والأخلاقيات.

ما تتطلبه الثغرة

لا تظهر الثغرة إلا عندما يتم تكوين BIG-IP APM كـ خادم تفويض OAuth — أي خادم افتراضي يحتوي على كليهما:

1. سياسة وصول APM، و
2. ملف تعريف OAuth

يمكن لحركة مرور OAuth الخبيثة إلى مثل هذا الخادم الافتراضي أن تُفعِّل تجاوز سعة الكومة. عمليات النشر التي تستخدم APM بشكل صارم كـ عميل OAuth / خادم موارد (بدون ملف تعريف خادم التفويض) غير متأثرة.

ما تفعله هذه الأداة

يُجري detect_cve_2026_94127.py فحوصات للقراءة فقط:

1. البصمة (غير مُصادَق): يحدد ما إذا كان المضيف نقطة نهاية BIG-IP / TMUI.
2. الإصدار (مُصادَق): يقرأ Version/Build عبر iControl REST (/mgmt/tm/sys/version) ويقارن مع النطاقات المتأثرة.
3. الشروط المسبقة (مُصادَق): يتحقق مما إذا كان أي خادم افتراضي يحمل كلاً من سياسة وصول APM وملف تعريف OAuth.
4. الحكم: يطبع حكماً واضحاً لكل هدف.

يرسل فقط طلبات عادية للقراءة فقط — لا حركة مرور مُصمَّمة/لتجاوز السعة.

الإصدارات المتأثرة

إصدارات الإصلاح الساخن الهندسية من F5 غير منتظمة؛ تُعلِّم الأداة الفروع المتأثرة بشكل تحفظي وتخبرك بـ تأكيد البناء المُصحَّح الدقيق مقابل الإرشاد الرسمي قبل الاستنتاج.

التثبيت

pip install -r requirements.txt

يتطلب Python 3.8+.

الاستخدام

# Unauthenticated fingerprint (is this a BIG-IP?)
./detect_cve_2026_94127.py -t 10.0.0.1

# Authenticated, read-only — most accurate (a read-only account is enough)
./detect_cve_2026_94127.py -t 10.0.0.1 -u admin        # prompts for password

# Scan a list of hosts and emit JSON
./detect_cve_2026_94127.py --targets-file hosts.txt -u admin --json

# Run on the appliance itself (uses tmsh), or against an exported config
./detect_cve_2026_94127.py --local
./detect_cve_2026_94127.py --config-file ./bigip.conf

رمز الخروج هو 2 عندما يكون أي هدف عرضة/عرضة على الأرجح (مناسب لـ CI)، و0 بخلاف ذلك.

الأحكام

المعالجة

1. طبِّق الإصلاح الساخن من F5 لفرعك (راجع K000162605).
2. تخفيف مؤقت: طبِّق iRule المقدم من البائع F5 على الخوادم الافتراضية المتأثرة وفعِّل التسجيل المُعزَّز للفرز الجنائي.
3. قيِّد الوصول الشبكي إلى الخوادم الافتراضية المتأثرة حتى التصحيح.
4. راجع ما إذا كان دور خادم تفويض OAuth مطلوباً؛ تعطيله يزيل الشرط المسبق للاستغلال.

النطاق والأخلاقيات

هذا المشروع مخصص للمدافعين والمشرفين المُصرَّح لهم لجرد ومعالجة تعرضهم الخاص قبل الموعد النهائي للمعالجة.

• شغِّله فقط ضد الأنظمة التي تملكها أو المُصرَّح لك صراحةً بتقييمها.
• لا يحتوي على أي تعليمات برمجية للاستغلال. نظراً لأن هذه الثغرة تم تصحيحها مؤخراً فقط وهي تحت استغلال جماعي نشط ضد مجموعة كبيرة غير مُصحَّحة، فإن إثبات مفهوم مُسلَّح عام سيمكِّن الهجمات ضد الضحايا في المقام الأول؛ هذا المستودع يحذفه عمداً.

المراجع

• إرشاد F5: https://my.f5.com/manage/s/article/K000162605
• سجل CVE: https://www.cve.org/CVERecord?id=CVE-2026-94127
• Rapid7: https://www.rapid7.com/db/vulnerabilities/cve-2026-94127/

الترخيص

MIT — راجع LICENSE.