แจ้งเตือนช่องโหว่ความปลอดภัยระดับวิกฤต Remote Code Execution ใน F5 BIG-IP APM (CVE-2026-94127)
CISA KEV: F5 BIG-IP APM Heap-based Buffer Overflow Vulnerability in F5 BIG-IP APM (CVE-2026-94127)
ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-94127 ซึ่งเป็นช่องโหว่ประเภท Heap-based Buffer Overflow ในระบบ F5 BIG-IP APM เมื่อมีการกำหนดค่า access policy และ OAuth profile บน virtual server ช่องโหว่นี้ช่วยให้ผู้โจมตีที่ไม่มีการยืนยันตัวตน (Unauthenticated attacker) สามารถส่งคำขอที่เป็นอันตรายเพื่อสั่งรันคำสั่งจากระยะไกล (Remote Code Execution - RCE) ได้ ส่งผลกระทบระดับความรุนแรงสูงสุด (CVSS 9.8)
รายละเอียดช่องโหว่ (Vulnerability Details)
รหัสช่องโหว่: CVE-2026-94127
ชื่อช่องโหว่: F5 BIG-IP APM Heap-based Buffer Overflow Vulnerability
ประเภทจุดอ่อน (CWE): CWE-122 (Heap-based Buffer Overflow)
ระดับความรุนแรง (CVSS Score): 9.8 (Critical) - Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
กลไกการโจมตีและส่วนประกอบที่ได้รับผลกระทบ
ช่องโหว่นี้เกิดขึ้นในระบบ F5 BIG-IP APM (Access Policy Manager) เมื่อมีการกำหนดค่า Access Policy ควบคู่กับ OAuth Profile บน Virtual Server โดยมีรายละเอียดทางเทคนิคดังนี้:
- ช่องทางการโจมตี: ผ่านเครือข่ายอินเทอร์เน็ตภายนอก (Network Vector - AV:N) โดยไม่ต้องมีการยืนยันตัวตนก่อนเข้าใช้งาน (PR:N) และไม่ต้องอาศัยการมีปฏิสัมพันธ์จากผู้ใช้งาน (UI:N)
- ลักษณะปัญหา: การจัดการหน่วยความจำแบบ Heap-based Buffer Overflow ทำให้ผู้โจมตีสามารถส่งชุดข้อมูลหรือ traffic ที่ผ่านการออกแบบเป็นพิเศษเพื่อเขียนทับหน่วยความจำ ส่งผลให้เกิดการ Remote Code Execution (RCE) บนระบบเป้าหมายได้
- ขอบเขตผลกระทบ: ส่งผลกระทบต่อข้อมูลลับ ความสมบูรณ์ของระบบ และความพร้อมใช้งาน (Confidentiality, Integrity, and Availability: High) รวมถึงระบบ F5 BIG-IP ในโหมด Appliance ด้วย โดยปัญหานี้จัดเป็น Data plane issue (ไม่มีความเสี่ยงเปิดเผยต่อ Control plane โดยตรง)
แนวทางการปฏิบัติและบรรเทาผลกระทบ (Mitigation & Recommendations)
- ดำเนินการอัปเดตแพตช์ความปลอดภัย: ตรวจสอบและดำเนินการอัปเดตซอฟต์แวร์ F5 BIG-IP APM ตามประกาศและคำแนะนำอย่างเป็นทางการจากผู้ผลิต (F5) โดยเร็วที่สุด เพื่อปิดช่องโหว่ CVE-2026-94127
- การปฏิบัติตามกรอบความปลอดภัย CISA BOD 26-04: หน่วยงานที่มีการใช้งานควรรีบดำเนินการประเมินความเสี่ยงและจัดการอัปเดตความปลอดภัยให้เสร็จสิ้นตามกำหนดเวลา (Federal Remediation Due Date: 2026-09-25)
- จำกัดการเข้าถึง (Access Restriction): ตรวจสอบการเปิดเผยระบบบนอินเทอร์เน็ต (Internet Exposure) และจำกัดการเข้าถึง Virtual Server ที่มีการเปิดใช้งาน Access Policy และ OAuth Profile ให้จำกัดเฉพาะเครือข่ายภายในหรือผู้ใช้งานที่จำเป็นเท่านั้น
- การตรวจสอบและเฝ้าระวัง (Monitoring): เฝ้าระวัง Traffic ผิดปกติที่พยายามเข้าถึง OAuth endpoint และตรวจสอบ Log ของระบบ BIG-IP APM เพื่อค้นหาพฤติกรรมที่อาจบ่งชี้ถึงความพยายามในการโจมตีแบบ Buffer Overflow