CVE-2026-94127 — F5 BIG-IP APM डिटेक्शन टूल (रक्षात्मक)

लेखक: https://github.com/FurkanKAYAPINAR/

CVE-2026-94127 के लिए एक रक्षात्मक, गैर-शोषण डिटेक्टर, जो F5 BIG-IP APM में एक हीप-आधारित बफ़र ओवरफ़्लो (CWE-122) है और जो एक अप्रमाणित रिमोट हमलावर को रिमोट कोड एक्ज़ीक्यूशन (RCE) प्राप्त करने की अनुमति देता है।

• CVSS 3.1: 9.8 / CVSS 4.0: 9.3 (क्रिटिकल)
• वास्तविक दुनिया में सक्रिय रूप से शोषित — CISA KEV कैटलॉग में सूचीबद्ध।
• F5 एडवाइज़री K000162605, प्रकाशित 2026-09-22।
• CISA संघीय उपचार समय-सीमा: 2026-09-25।

इस रिपॉज़िटरी में केवल डिटेक्शन और उपचार टूलिंग शामिल है। इसमें कोड एक्ज़ीक्यूशन प्राप्त करने के लिए कोई हथियारबंद एक्सप्लॉइट या प्रूफ-ऑफ-कॉन्सेप्ट नहीं है। दायरा और नैतिकता देखें।

भेद्यता के लिए क्या आवश्यक है

यह भेद्यता केवल तब प्रकट होती है जब BIG-IP APM को OAuth Authorization Server के रूप में कॉन्फ़िगर किया गया हो — अर्थात, एक वर्चुअल सर्वर जिसमें दोनों हों:

1. एक APM एक्सेस पॉलिसी, और
2. एक OAuth प्रोफ़ाइल

ऐसे वर्चुअल सर्वर पर दुर्भावनापूर्ण OAuth ट्रैफ़िक हीप ओवरफ़्लो को ट्रिगर कर सकता है। जो डिप्लॉयमेंट APM का उपयोग केवल OAuth Client / Resource Server के रूप में करते हैं (कोई authorization-server प्रोफ़ाइल नहीं), वे प्रभावित नहीं हैं।

यह टूल क्या करता है

detect_cve_2026_94127.py केवल-पढ़ने योग्य जाँचें करता है:

1. फ़िंगरप्रिंट (अप्रमाणित): निर्धारित करता है कि कोई होस्ट BIG-IP / TMUI एंडपॉइंट है या नहीं।
2. संस्करण (प्रमाणित): iControl REST (/mgmt/tm/sys/version) के माध्यम से Version/Build पढ़ता है और प्रभावित श्रेणियों से तुलना करता है।
3. पूर्वापेक्षाएँ (प्रमाणित): जाँचता है कि क्या किसी वर्चुअल सर्वर में APM एक्सेस पॉलिसी और OAuth प्रोफ़ाइल दोनों हैं।
4. निर्णय: प्रत्येक लक्ष्य के लिए एक स्पष्ट निर्णय प्रिंट करता है।

यह केवल सामान्य, केवल-पढ़ने योग्य अनुरोध भेजता है — कोई तैयार/ओवरफ़्लो ट्रैफ़िक नहीं।

प्रभावित संस्करण

F5 की इंजीनियरिंग हॉटफ़िक्स वर्ज़निंग अनियमित है; यह टूल प्रभावित शाखाओं को रूढ़िवादी रूप से चिह्नित करता है और निष्कर्ष निकालने से पहले आपको आधिकारिक एडवाइज़री के विरुद्ध सटीक फ़िक्स्ड बिल्ड की पुष्टि करने के लिए कहता है।

इंस्टॉलेशन

pip install -r requirements.txt

Python 3.8+ आवश्यक है।

उपयोग

# Unauthenticated fingerprint (is this a BIG-IP?)
./detect_cve_2026_94127.py -t 10.0.0.1

# Authenticated, read-only — most accurate (a read-only account is enough)
./detect_cve_2026_94127.py -t 10.0.0.1 -u admin        # prompts for password

# Scan a list of hosts and emit JSON
./detect_cve_2026_94127.py --targets-file hosts.txt -u admin --json

# Run on the appliance itself (uses tmsh), or against an exported config
./detect_cve_2026_94127.py --local
./detect_cve_2026_94127.py --config-file ./bigip.conf

जब कोई भी लक्ष्य भेद्य/संभावित-भेद्य हो तो एग्ज़िट कोड 2 होता है (CI-अनुकूल), अन्यथा 0।

निर्णय

उपचार

1. अपनी शाखा के लिए F5 हॉटफ़िक्स लागू करें (K000162605 देखें)।
2. अंतरिम शमन: प्रभावित वर्चुअल सर्वरों पर F5 द्वारा प्रदान किया गया iRule लागू करें और फ़ॉरेंसिक ट्राइएज के लिए उन्नत लॉगिंग सक्षम करें।
3. पैच होने तक प्रभावित वर्चुअल सर्वरों तक नेटवर्क पहुँच प्रतिबंधित करें।
4. समीक्षा करें कि क्या OAuth Authorization Server भूमिका आवश्यक है; इसे अक्षम करने से शोषण पूर्वापेक्षा हट जाती है।

दायरा और नैतिकता

यह प्रोजेक्ट अधिकृत रक्षकों और प्रशासकों के लिए है ताकि वे उपचार समय-सीमा से पहले अपने स्वयं के एक्सपोज़र की इन्वेंटरी और उपचार कर सकें।

• इसे केवल उन सिस्टमों के विरुद्ध चलाएँ जिनके आप स्वामी हैं या जिनका मूल्यांकन करने के लिए आपको स्पष्ट रूप से अधिकृत किया गया है।
• इसमें कोई एक्सप्लॉइट कोड नहीं है। चूँकि यह CVE हाल ही में पैच किया गया था और बड़े पैमाने पर अपैच्ड आबादी के विरुद्ध सक्रिय सामूहिक शोषण के अधीन है, एक सार्वजनिक हथियारबंद PoC मुख्य रूप से पीड़ितों के विरुद्ध हमलों को सक्षम करेगा; यह रेपो जानबूझकर इसे छोड़ देता है।

संदर्भ

• F5 एडवाइज़री: https://my.f5.com/manage/s/article/K000162605
• CVE रिकॉर्ड: https://www.cve.org/CVERecord?id=CVE-2026-94127
• Rapid7: https://www.rapid7.com/db/vulnerabilities/cve-2026-94127/

लाइसेंस

MIT — LICENSE देखें।