Descripción
F5 BIG-IP APM contiene una vulnerabilidad de desbordamiento de búfer en el heap cuando hay una política de acceso y un perfil OAuth configurados en un servidor virtual. Esta vulnerabilidad podría permitir a un atacante no autenticado realizar ejecución remota de código (RCE).
Acción recomendada
Aplicar las mitigaciones del fabricante y revisar los equipos afectados en busca de señales de compromiso (triaje forense) antes de darlos por remediados. Evaluar la exposición a internet de cada activo para priorizar la aplicación de parches. En servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 26-04.
Referencias
- Como mitigación temporal que permita un triaje forense proactivo, aplique la iRule proporcionada por el fabricante. Una vez completado, instale el parche definitivo del fabricante lo antes posible. Para más información, consulte my.f5.com/manage/s/article/K000162605
- BOD 26-04 cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updat…
- Requisitos de triaje forense cisa.gov/news-events/directives/bod-26-04-implementation-guidance-pri…
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2026-94127
Ver el texto original en inglés (CISA)
F5 BIG-IP APM Heap-based Buffer Overflow Vulnerability
F5 BIG-IP APM contains a heap-based buffer overflow vulnerability when access policy and an OAuth profile are configured on a virtual server. This vulnerability could allow an unauthenticated attacker to perform remote code execution.
Required action: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Notes: For temporary mitigation to allow for proactive forensic triage, apply the vendor-provided iRule. Once completed, install the final vendor patch as soon as possible. For more information please see: https://my.f5.com/manage/s/article/K000162605 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-94127
Otras vulnerabilidades de F5 en el catálogo
- CVE-2025-53521 F5 BIG-IP Stack-Based Buffer Overflow Vulnerability Alta 27-03-2026
- CVE-2023-46748 F5 BIG-IP Configuration Utility SQL Injection Vulnerability Alta 31-10-2023
- CVE-2023-46747 F5 BIG-IP Configuration Utility Authentication Bypass Vulnerability Alta 31-10-2023
- CVE-2022-1388 F5 BIG-IP Missing Authentication Vulnerability Alta 10-05-2022
- CVE-2021-22991 F5 BIG-IP Traffic Management Microkernel Buffer Overflow Alta 18-01-2022