CVE-2026-94127
BIG-IP APM OAuth-Schwachstelle
- Veröffentlicht
- 22.09.2026
- Aktualisiert
- 23.09.2026
- CNA zuweisen
- f5
- Beweise beobachtet
- 22.09.2026
Primäres CVSS
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XNiedrig · nächste 30 Tage
- Perzentil
- 82,4 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
CISA bekanntermaßen ausgenutzt
Dieses CVE erscheint im CISA-Katalog „Known Exploited Vulnerabilities“.
Zusammenfassung
Wenn auf einem virtuellen Server eine BIG-IP APM-Zugriffsrichtlinie und ein OAuth-Profil konfiguriert sind, kann spezifischer bösartiger Datenverkehr zur Remote-Code-Ausführung (RCE) führen. Diese Schwachstelle ist nur vorhanden, wenn BIG-IP APM als OAuth-Autorisierungsserver konfiguriert ist. Bereitstellungen, die APM ausschließlich als OAuth-Client / Resource Server verwenden (ohne konfigurierte OAuth-Autorisierungsserver-Profile), sind von dieser Schwachstelle nicht betroffen. Auswirkung: Diese Schwachstelle ermöglicht einem nicht authentifizierten Angreifer die Durchführung von Remote-Code-Ausführung. Das BIG-IP-System im Appliance-Modus ist ebenfalls anfällig. Dies ist ein Data-Plane-Problem; es besteht keine Control-Plane-Exposition. Hinweis: Softwareversionen, die das Ende des technischen Supports (EoTS) erreicht haben, werden nicht bewertet.
Quellen
- CVE-2026-94127Erkennung
Read-only-Detektor für CVE-2026-94127 in F5 BIG-IP APM. Fingerabdrücke von Hosts, Versionsprüfung über iControl REST und Verifikation der OAuth-Autorisierungsserver-Voraussetzungen.
Python-Erkennungsartefakt-Generator und PoC für CVE-2026-94127, eine Pre-Auth-RCE in F5 BIG-IP, erreichbar über OAuth-konfigurierte virtuelle Server, mit fest codierten Offsets für 21.1.0.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.