F5-ის BIG-IP APM-ის კრიტიკულ ხარვეზს აქტიურად იყენებენ

კარგი ამბავი: ხარვეზის გამოსასწორებელი განახლება ხელმისაწვდომია. ცუდი ამბავი: CISA და F5 აფრთხილებენ, რომ ხარვეზს აქტიურად იყენებენ.

F5-მა BIG-IP Access Policy Manager-ში (APM) კრიტიკული ნულოვანი დღის ხარვეზი გამოასწორა. უცნობი თავდამსხმელები მას მავნე კოდის დისტანციურად გასაშვებად იყენებენ.

BIG-IP APM წვდომის მართვის ცენტრალიზებული სისტემა და უსაფრთხოების პროქსია. მისი მეშვეობით მომხმარებლები ერთი ანგარიშით კორპორაციულ ქსელებს, პროგრამებს, API-ებსა და ღრუბლოვან სერვისებს უკავშირდებიან.

CVE-2026-94127-ად აღრიცხული ხარვეზი დინამიკურ მეხსიერებაში ბუფერის გადავსებას იწვევს. ის BIG-IP APM-ის იმ სისტემებზე მოქმედებს, რომლებიც OAuth-ის ავტორიზაციის სერვერადაა გამართული. ამასთან, წვდომის პოლიტიკა და OAuth-ის პროფილი ერთსა და იმავე ვირტუალურ სერვერზე უნდა იყოს განთავსებული. ხარვეზმა CVSS v4.0-ის სკალაზე კრიტიკული, 9,3 ქულა მიიღო, ამიტომ განახლება დაუყოვნებლივ უნდა დაყენდეს.

F5-მა სამშაბათს უსაფრთხოების შეტყობინებაში განაცხადა: „ჩვენთვის ცნობილი გახდა, რომ ეს მოწყვლადობა გამოიყენეს“.

F5-მა გამოცემის კითხვებს დაუყოვნებლივ არ უპასუხა. მათ შორის იყო კითხვები, რამდენი სისტემა დაზიანდა და იყენებენ თუ არა დამნაშავეები ხარვეზს გამომძალველი პროგრამის გასავრცელებლად.

აშშ-ის კიბერუსაფრთხოებისა და ინფრასტრუქტურის უსაფრთხოების სააგენტომ (CISA) ასევე სამშაბათს CVE-2026-94127 ცნობილი და გამოყენებული მოწყვლადობების კატალოგში დაამატა. სააგენტომ ფედერალურ უწყებებს განახლებების დასაყენებლად პარასკევამდე მისცა ვადა.

ეს გაფრთხილება F5-ისა და CISA-ს წინა გაფრთხილებიდან დაახლოებით ერთი წლის შემდეგ გავრცელდა. მაშინ მათ განაცხადეს, რომ „უაღრესად დახვეწილმა, სახელმწიფოსთან დაკავშირებულმა“ ჰაკერებმა მომწოდებლის ქსელში შეაღწიეს. მათ BIG-IP-ის საწყისი კოდი, ნულოვანი დღის ხარვეზების დეტალები და ზოგიერთი მომხმარებლის კონფიგურაციის მონაცემები მოიპარეს.

აშშ-ის კიბერუსაფრთხოების ოფიციალურმა პირებმა მაშინ განაცხადეს, რომ თავდასხმა ფედერალურ უწყებებს „გარდაუვალ საფრთხეს“ უქმნიდა. აშშ-ის იუსტიციის სამინისტრომ F5-ს შეჭრის გამჟღავნების გადადების უფლება მისცა. უწყებამ დაადგინა, რომ ინფორმაციის მოგვიანებით გასაჯაროება გამართლებული იყო. ეს მხოლოდ მაშინ ხდება, როცა გასაჯაროება ეროვნულ უსაფრთხოებას ან საზოგადოებრივ უსაფრთხოებას მნიშვნელოვან საფრთხეს უქმნის.

არც ფედერალურ უწყებებს და არც კერძო მკვლევრებს შეჭრა საჯაროდ კონკრეტული ჯგუფისთვის ან ქვეყნისთვის არ მიუწერიათ. თუმცა, ერთი წლით ადრე Google-ის Mandiant-ის საფრთხეების მკვლევრებმა F5 BIG-IP-ის კრიტიკული ხარვეზის, CVE-2023-46747-ის, გამოყენება UNC5174-ს დაუკავშირეს. მათ საშუალო სარწმუნოობით შეაფასეს, რომ წვდომის შუამავალი ჯგუფი ჩინეთიდან მოქმედებდა. ჯგუფი აშშ-ის თავდაცვის კონტრაქტორების მოწყობილობებსა და გაერთიანებული სამეფოს სამთავრობო უწყებებზე წვდომის გაყიდვას ცდილობდა.