F5 BIG-IP APM OAuth 授權伺服器堆積溢位:未登入即可遠端執行程式碼,已遭零時差利用

影響範圍

BIG-IP 是 F5 的網路設備,常放在組織網路邊界,負責分流流量與控管登入。APM(Access Policy Manager)是其中處理存取控制與登入的模組。以下條件全部成立才會受影響:

受影響版本與修補(依 F5 撰寫的 CVE 紀錄):

注意事項:

• 版本範圍有出入。 NVD 的 CPE 資料把 17.x 範圍從 17.0.0 算起,但 F5 的 CVE 紀錄、CERT-EU 與新聞都從 17.1.0 算起。本頁採用 F5 的說法;17.0.x 是否受影響尚未確認,可能只是 CPE 比對範圍較寬。
• 已超過技術支援期限(End of Technical Support)的版本沒有被評估(Rapid7)。
• CISA KEV 的簡述只寫「存取政策加上 OAuth 設定檔」,沒有提到 F5 在 CVE 紀錄裡限定的「授權伺服器」條件。
• 曝險規模:BleepingComputer 報導 Shadowserver 追蹤到超過 14,700 個帶有 BIG-IP APM 特徵的 IP,但這個數字看不出哪些設定了 OAuth 授權伺服器、哪些已修補。我們沒有直接查證 Shadowserver 的資料。

原理

OAuth 是讓一個服務替其他應用程式核發「存取權杖(token)」的標準;BIG-IP APM 可以扮演這個核發權杖的「授權伺服器」。

F5 的說法是:APM 在處理 OAuth 授權伺服器相關流量時有堆積緩衝區溢位(CWE-122)。程式在記憶體中配置一塊固定大小的空間(位於「堆積」heap),特製的流量卻讓資料被寫到這塊空間的尾端之外,蓋掉相鄰的資料,最後可能讓攻擊者在設備上執行自己的程式碼。CVE 紀錄也標註了 CAPEC-100(緩衝區溢位)。

F5 說這是資料平面(data plane,處理使用者流量的部分)的問題,不涉及控制平面。也就是說,只把管理介面藏起來擋不住攻擊,因為攻擊打的是對外服務的虛擬伺服器。

F5 沒有公開具體是哪段程式碼出錯,BIG-IP 也是閉源軟體,沒有公開的修補 commit。下面只是這類漏洞的通用樣貌,不代表 F5 的實際程式碼。

有問題的思路(概念示意,不是 F5 原始程式碼):

char *buf = malloc(FIXED_SIZE);
// 直接把外部輸入複製進去,沒有先檢查長度
memcpy(buf, input, input_len);

修好的思路:

char *buf = malloc(FIXED_SIZE);
if (input_len > FIXED_SIZE) {
    reject_request();   // 太長就拒絕,不寫入
    return;
}
memcpy(buf, input, input_len);

時間軸

F5 何時發現漏洞、何時首次觀察到利用,尚未確認。CVE 紀錄把發現者列為 F5 自己(內部發現)。

延伸閱讀

• 評分: F5(CNA)給 CVSS 3.1 9.8、CVSS 4.0 9.3,皆為「嚴重」。NVD 狀態為「已分析」,但 API 資料中只看得到 F5 的分數,沒有 NVD 自己的評分。
• 利用情況: F5 表示已得知漏洞遭利用;攻擊者身分、受害者與規模都未公開。KEV 對勒索軟體使用標註為「未知」。
• F5 公告無法讀取: F5 官方公告 K000162605 需要 JavaScript,我們沒能載入,入侵跡象清單是透過 CERT-EU 與新聞轉述,應再用瀏覽器核對。iRule 的取得方式(向 F5 支援開案申請)則已由 F5 撰寫的 CVE 紀錄確認。
• 與 2025 年 F5 遭入侵事件無已知關聯: BleepingComputer 提到 F5 在 2025 年 8 月遭國家級駭客入侵、BIG-IP 原始碼外洩,但沒有任何來源把那起事件與本漏洞連結,本頁也不做此推論。
• 我們的分析(非來源說法): APM 授權伺服器核發的權杖會被其他應用程式信任,因此它一旦淪陷,依賴這些權杖的下游應用也可能受影響。
• 相關弱點類型:CWE-122(堆積緩衝區溢位)、CAPEC-100。