F5 BIG-IP APM'de CVSS 9,8 puanlı sıfır-gün açığı aktif sömürülüyor; CISA federal kurumlara 25 Eylül'e kadar süre verdi

The Hacker News'e göre açık, BIG-IP APM'nin OAuth yetkilendirme sunucusu olarak yapılandırıldığı ve aynı sanal sunucuda erişim politikasıyla OAuth profilinin birlikte bulunduğu sistemlerde, özel hazırlanmış ağ trafiğiyle belleği bozarak oturum açmadan kod çalıştırmayı mümkün kılıyor. Açık CVSS v3.1'de 9,8, CVSS v4.0'da 9,3 puan aldı. Etkilenen sürümler 21.1.0, 17.5.0–17.5.1 ve 17.1.0–17.1.3; APM'yi yalnızca OAuth istemcisi ya da kaynak sunucusu olarak kullanan kurulumlar etkilenmiyor. F5 her dal için mühendislik düzeltmeleri yayımladı, düzeltme uygulanana kadar bir iRule geçici önlemi önerdi.

SecurityWeek'in 23 Eylül tarihli haberine göre F5 açığı kendi iç çalışmalarıyla tespit etti ve saldırganların açığı fiilen silaha dönüştürdüğünü doğruladı; şirket tespit için 3 saldırı göstergesi paylaştı. CISA açığı Bilinen Sömürülen Açıklar (KEV) kataloğuna ekleyerek federal sivil kurumlara 3 gün, yani 25 Eylül 2026'ya kadar önlem alma yükümlülüğü getirdi. The Hacker News, APM kayıtlarında geçersiz token içeren tekrarlanan başarısız UserInfo isteklerinin ve açıklanamayan OAuth sayaç artışlarının izlenmesini önerdi.

Saldırıların kimin tarafından yürütüldüğü, kaç kurumun etkilendiği ve internete açık savunmasız BIG-IP örneklerinin sayısı 24 Eylül itibarıyla doğrulanamadı. Açığın 22 Eylül'de duyurulmasıyla KEV süresinin dolacağı 25 Eylül arasında yalnızca 3 gün bulunuyor; SecurityWeek bu sürenin BOD 26-04 direktifi kapsamında verildiğini yazdı.