CVE-2026-94127
BIG-IP APM OAuth भेद्यता
- प्रकाशित
- 22 सित॰ 2026
- अद्यतन
- 23 सित॰ 2026
- सीएनए असाइन करना
- f5
- साक्ष्य देखे गए
- 22 सित॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xकम · अगले 30 दिन
- प्रतिशत
- 82.4%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सीआईएसए ज्ञात शोषण
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
सारांश
जब किसी virtual server पर BIG-IP APM access policy और OAuth profile कॉन्फ़िगर किए जाते हैं, तो विशिष्ट दुर्भावनापूर्ण ट्रैफ़िक remote code execution (RCE) का कारण बन सकता है। यह vulnerability केवल तब मौजूद होती है जब BIG-IP APM को OAuth Authorization Server के रूप में कॉन्फ़िगर किया गया हो। APM का उपयोग केवल OAuth Client / Resource Server के रूप में करने वाली deployments (बिना OAuth authorization server profiles कॉन्फ़िगर किए) इस vulnerability से प्रभावित नहीं होती हैं। प्रभाव: यह vulnerability एक unauthenticated attacker को remote code execution करने की अनुमति देती है। Appliance mode में BIG-IP system भी vulnerable है। यह एक data plane issue है; कोई control plane exposure नहीं है। नोट: जिन software versions का End of Technical Support (EoTS) हो चुका है, उनका मूल्यांकन नहीं किया जाता है।
स्रोत
- CVE-2026-94127पता लगाना
F5 BIG-IP APM में CVE-2026-94127 के लिए रीड-ओनली डिफेंसिव डिटेक्टर। होस्ट्स की फिंगरप्रिंटिंग करता है, iControl REST के माध्यम से वर्शन जाँचता है, और OAuth authorization-server पूर्व-शर्तों को सत्यापित करता है।
Python डिटेक्शन आर्टिफैक्ट जनरेटर और CVE-2026-94127 के लिए PoC, जो F5 BIG-IP में OAuth-कॉन्फ़िगर किए गए वर्चुअल सर्वर के माध्यम से पहुँचने योग्य प्री-ऑथ RCE है, जिसमें 21.1.0 के लिए हार्डकोडेड ऑफ़सेट शामिल हैं।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।