CVE-2026-94127 — F5 BIG-IP APM 検出ツール（防御用）

作者: https://github.com/FurkanKAYAPINAR/

CVE-2026-94127 に対する防御目的の非エクスプロイト検出ツールです。これは F5 BIG-IP APM におけるヒープベースのバッファオーバーフロー（CWE-122）であり、未認証のリモート攻撃者がリモートコード実行（RCE）を達成できる脆弱性です。

• CVSS 3.1: 9.8 / CVSS 4.0: 9.3（Critical）
• 野外で活発に悪用されている — CISA KEV カタログに掲載。
• F5 アドバイザリ K000162605、公開日 2026-09-22。
• CISA の連邦機関向け修復期限: 2026-09-25。

このリポジトリには検出および修復用のツールのみが含まれています。コード実行を達成するための武器化されたエクスプロイトや概念実証は含まれていません。Scope & ethics を参照してください。

脆弱性が成立する条件

この脆弱性は、BIG-IP APM が OAuth Authorization Server として構成されている場合にのみ発現します。つまり、以下の両方を持つ仮想サーバーです:

1. APM アクセスポリシー、および
2. OAuth プロファイル

そのような仮想サーバーへの悪意ある OAuth トラフィックがヒープオーバーフローを引き起こす可能性があります。APM を厳密に OAuth Client / Resource Server として使用しているデプロイメント（認可サーバープロファイルなし）は影響を受けません。

このツールの機能

detect_cve_2026_94127.py は読み取り専用のチェックを実行します:

1. フィンガープリント（未認証）: ホストが BIG-IP / TMUI エンドポイントであるかどうかを判定します。
2. バージョン（認証済み）: iControl REST（/mgmt/tm/sys/version）経由で Version/Build を読み取り、影響を受ける範囲と比較します。
3. 前提条件（認証済み）: いずれかの仮想サーバーが APM アクセスポリシーと OAuth プロファイルの両方を備えているかどうかを確認します。
4. 判定: 各ターゲットについて明確な判定を出力します。

送信するのは通常の読み取り専用リクエストのみで、細工された/オーバーフローを引き起こすトラフィックは送信しません。

影響を受けるバージョン

F5 のエンジニアリングホットフィックスのバージョン管理は不規則です。このツールは影響を受けるブランチを保守的にフラグ付けし、結論を下す前に公式アドバイザリに対して正確な修正済みビルドを確認するよう促します。

インストール

pip install -r requirements.txt

Python 3.8+ が必要です。

使用方法

# Unauthenticated fingerprint (is this a BIG-IP?)
./detect_cve_2026_94127.py -t 10.0.0.1

# Authenticated, read-only — most accurate (a read-only account is enough)
./detect_cve_2026_94127.py -t 10.0.0.1 -u admin        # prompts for password

# Scan a list of hosts and emit JSON
./detect_cve_2026_94127.py --targets-file hosts.txt -u admin --json

# Run on the appliance itself (uses tmsh), or against an exported config
./detect_cve_2026_94127.py --local
./detect_cve_2026_94127.py --config-file ./bigip.conf

いずれかのターゲットが脆弱/脆弱の可能性ありの場合、終了コードは 2（CI フレンドリー）、それ以外は 0 です。

判定

修復

1. お使いのブランチ向けの F5 ホットフィックスを適用します（K000162605 参照）。
2. 暫定緩和策: 影響を受ける仮想サーバーに F5 が提供する iRule を適用し、フォレンジックトリアージのために拡張ログを有効にします。
3. パッチ適用まで、影響を受ける仮想サーバーへのネットワークアクセスを制限します。
4. OAuth Authorization Server の役割が必要かどうかを見直します。無効化すれば悪用の前提条件がなくなります。

スコープと倫理

このプロジェクトは、認可された防御担当者および管理者が修復期限前に自身の露出を棚卸しし修復することを目的としています。

• 自身が所有する、または評価を明示的に認可されたシステムに対してのみ実行してください。
• エクスプロイトコードは含まれていません。この CVE はごく最近パッチが適用されたばかりであり、大部分が未パッチの集団に対して活発な大規模悪用が行われているため、公開された武器化 PoC は主に被害者に対する攻撃を可能にするだけです。このリポジトリは意図的にそれを省略しています。

参考資料

• F5 アドバイザリ: https://my.f5.com/manage/s/article/K000162605
• CVE レコード: https://www.cve.org/CVERecord?id=CVE-2026-94127
• Rapid7: https://www.rapid7.com/db/vulnerabilities/cve-2026-94127/

ライセンス

MIT — LICENSE を参照してください。