"F5 BIG-IP APM บัฟเฟอร์ล้น เปิดทาง RCE: CVE-2026-94127"
"ผู้ดูแล BIG-IP APM ที่ตั้งเป็น OAuth Authorization Server ต้องตรวจเงื่อนไขและติดตั้ง hotfix โดยเร่งด่วน เพราะมีการใช้ช่องโหว่โจมตีจริงแล้ว"
สรุปใน 1 นาที
- อาการ/ปัญหา
- บัฟเฟอร์ล้นใน heap เปิดทางให้ผู้โจมตีรันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน
- ใครควรอ่าน
- BIG-IP APM รุ่นที่ได้รับผลกระทบซึ่งผูก access policy และ OAuth Authorization Server profile ไว้บน virtual server
- ทางแก้แบบสั้น
- ติดตั้ง engineering hotfix ให้ตรงสายรุ่น และติดต่อ F5 Support เพื่อขอ iRule หากยังแพตช์ทันทีไม่ได้
พอดีไล่ฟีด CISA KEV เจอช่องโหว่ CVE-2026-94127 ใน F5 BIG-IP Access Policy Manager (APM) ประกาศวันที่ 22 กันยายน 2026 ระบุว่าบัฟเฟอร์ล้นใน heap อาจเปิดให้ผู้โจมตีรันโค้ดจากระยะไกลโดยไม่ต้องล็อกอิน F5 ยืนยันว่ามีการโจมตีจริงแล้ว ผู้ดูแลควรรีบตรวจ configuration ที่เข้าเงื่อนไข (CERT-EU)
เกิดอะไรขึ้น
ช่องโหว่ประเภทนี้เกี่ยวกับการเขียนข้อมูลเกินขอบเขตบัฟเฟอร์ในหน่วยความจำ heap สำหรับกรณีนี้ traffic ที่สร้างมาเป็นพิเศษอาจทำให้ผู้โจมตีรันโค้ดบนอุปกรณ์ได้ เงื่อนไขสำคัญคือ virtual server ต้องมีทั้ง APM access policy และ OAuth profile โดย APM ทำหน้าที่เป็น OAuth Authorization Server ระบบที่ใช้เฉพาะ OAuth Client / Resource Server และไม่มี authorization server profile ไม่ได้รับผลกระทบจากช่องโหว่นี้
ข้อมูลที่ F5 ส่งเข้า CVE ให้คะแนน Critical: CVSS v3.1 9.8 และ CVSS v4.0 9.3 ปัญหาอยู่ที่ data plane หรือส่วนรับส่ง traffic ผู้ผลิตระบุว่าไม่มีผลกระทบผ่าน control plane ส่วน BIG-IP ที่ใช้ Appliance mode ยังได้รับผลกระทบ ต้องตรวจ configuration ของ virtual server ด้วย (CVE record ของ F5)
ใครโดนและรุ่นที่แก้
ผู้ดูแลควรตรวจทั้งรุ่นซอฟต์แวร์และบทบาท OAuth ควบคู่กัน ตารางนี้แสดง engineering hotfix ที่ Canadian Centre for Cyber Security ระบุไว้สำหรับประกาศนี้ โดยอ้างอิงกลับไปยัง F5 advisory K000162605:
| สาย BIG-IP APM / รุ่นที่ได้รับผลกระทบก่อน hotfix | รุ่นแก้ตามประกาศ |
|---|---|
| 17.1: ตั้งแต่ 17.1.0 จนถึงก่อน hotfix ในแถวนี้ | Hotfix-BIGIP-17.1.3.5.0.41.14-ENG |
| 17.5: ตั้งแต่ 17.5.0 จนถึงก่อน hotfix ในแถวนี้ | Hotfix-BIGIP-17.5.1.9.0.160.12-ENG |
| 21.1: ตั้งแต่ 21.1.0 จนถึงก่อน hotfix ในแถวนี้ | Hotfix-BIGIP-21.1.0.2.0.30.22-ENG |
ต้องเทียบชื่อ hotfix และ build ให้ครบ ไม่ใช้เพียงเลขรุ่นหลักตัดสินว่าแพตช์แล้ว ส่วนรุ่นที่พ้น End of Technical Support (EoTS) ไม่อยู่ในการประเมินของ F5 การไม่พบรุ่นเก่าในตารางไม่ได้ยืนยันว่าปลอดภัย (Cyber Centre AL26-022, CVE record)
ต้องทำอะไร
เริ่มจากสำรวจ virtual server ที่ใช้ APM access policy ร่วมกับ OAuth Authorization Server profile แล้วเลือก hotfix ให้ตรงสายรุ่น ก่อนเปลี่ยนระบบให้เก็บหลักฐานที่จำเป็นต่อการตรวจเหตุ ติดตั้งแพตช์ตามขั้นตอนผู้ผลิต และตรวจหาร่องรอยการบุกรุกควบคู่กัน หากพบสิ่งผิดปกติให้เข้าสู่กระบวนการ incident response ตามคำแนะนำ CERT-EU
ตรวจ /var/log/apm หา OAuth authentication failures ที่เกิดถี่หรือมากผิดปกติ แล้วเทียบเวลากับคำสั่งน่าสงสัยใน /var/log/audit รวมถึง TMM core files สามารถดูสถิติ OAuth ด้วยคำสั่งอ่านข้อมูลนี้ และตรวจค่า total_failed ที่เพิ่มโดยอธิบายไม่ได้:
tmctl global_oauth_stat -s total_requests,total_userinfo_requests,total_failed
TMM core file เพียงอย่างเดียวไม่ยืนยันว่าโจมตีสำเร็จ ต้องพิจารณาเหตุการณ์ประกอบกัน โดยเฉพาะ OAuth failures ตามด้วยคำสั่งน่าสงสัยและ TMM SIGABRT ในช่วงเวลาใกล้กัน (แนวทางตรวจเหตุของ CERT-EU)
F5 มี iRule สำหรับบรรเทาช่องโหว่บน virtual server ที่ได้รับผลกระทบ ต้องติดต่อ F5 Support เพื่อขอ ไม่ควรคิดกฎทดแทนเองแล้วถือว่าปิดความเสี่ยงครบ
CISA เพิ่มรายการนี้เข้า KEV วันที่ 22 กันยายน 2026 และกำหนดวันแก้ไข 25 กันยายน 2026 สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้ข้อกำหนด ผู้ดูแลองค์กรอื่นควรใช้ข้อมูลการโจมตีจริงเป็นเหตุผลจัดลำดับงานเร่งด่วนด้วย (ข้อมูล CISA KEV ใน NVD)
ส่วนตัวผมให้แพตช์ทันทีเมื่อพบว่าเข้าเงื่อนไข โดยเฉพาะบริการที่รับ traffic จากอินเทอร์เน็ต พร้อมตรวจร่องรอยการบุกรุกตามประกาศ ที่มา: CVE-2026-94127 (CVE.org) และ F5 K000162605 ถ้ามีรายละเอียดเพิ่มเติมที่ควรใส่ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย