BigIP APM Vulnerability

Falha de estouro de buffer baseado em pilha (CWE-121) no módulo BIG-IP APM (Access Policy Manager) da F5. Quando uma virtual server tem uma access policy do APM associada, tráfego malicioso específico enviado a essa virtual server pode corromper a pilha e resultar em execução remota de código. A CISA confirma exploração ativa e incluiu a falha no catálogo KEV — não é um cenário teórico.

A vulnerabilidade é classificada como CWE-121 (stack-based buffer overflow) e reside no processamento de tráfego pelo componente APM quando uma access policy está vinculada a uma virtual server. O fornecedor não detalhou publicamente (nas fontes disponíveis) qual parser, campo ou etapa do fluxo de autenticação/sessão do APM recebe o dado que causa o overflow — apenas que 'tráfego malicioso específico' contra essa configuração leva a RCE.

O vetor CVSS 4.0 (AV:N/AC:L/AT:N/PR:N/UI:N) indica que a falha é explorável remotamente pela rede, sem necessidade de autenticação, sem interação do usuário e sem pré-condições de ataque além de alcançar a virtual server vulnerável — o que eleva bastante a severidade prática em relação a outras CVEs de BIG-IP que exigem acesso administrativo prévio.

A pré-condição estrutural que a manchete às vezes omite é importante: a exploração exige que a virtual server tenha uma access policy do APM configurada. BIG-IP appliances sem o módulo APM habilitado, ou com virtual servers que não usam access policy, não expõem esse caminho de código."

Como o vetor de ataque é de rede, sem autenticação e sem interação do usuário, o pré-requisito prático se reduz a: (1) o alvo ter licença e módulo APM ativo, (2) uma virtual server com access policy associada, e (3) essa virtual server ser alcançável pelo atacante — o que inclui interfaces de gestão ou serviços APM expostos à internet, cenário comum em VPNs de acesso remoto e portais SSO baseados em APM.

A CISA confirma exploração ativa in-the-wild ao incluir a CVE no catálogo KEV, classificando-a como 'F5 BIG-IP Stack-Based Buffer Overflow Vulnerability' com potencial de RCE. As fontes disponíveis não detalham a cadeia de exploração, o payload ou o tipo de ator observado — apenas o fato da exploração confirmada e a recomendação de verificar sinais de comprometimento em qualquer produto F5 exposto à internet.

A ação primária é aplicar a correção do fornecedor conforme o artigo oficial (K000156741). As fontes lidas não trazem o número exato da versão corrigida nem o range preciso de versões afetadas — essa informação deve ser confirmada diretamente no advisory da F5 antes de qualquer decisão de patching, para não arriscar deixar uma versão vulnerável achando que foi corrigida.

Como controle compensatório, caso o patch não possa ser aplicado imediatamente: restringir o acesso de rede às virtual servers com access policy do APM configurada (via ACL, firewall, ou isolamento da interface de gestão), reduzindo a exposição a origens não confiáveis. Remover ou desassociar a access policy de virtual servers que não precisam dela elimina o caminho de código vulnerável, mas tem custo operacional — quebra funcionalidades de VPN/SSO que dependam dessa policy.

A CISA determina, para agências sob BOD 22-01, aplicar as mitigações do fornecedor, seguir a orientação aplicável a serviços em nuvem, ou descontinuar o uso do produto caso não haja mitigação disponível — prazo de correção (due date) registrado no KEV. Restringir acesso via WAF genérico não é mitigação confiável aqui, pois a falha é de memória no processamento nativo do APM, não um problema de camada de aplicação HTTP filtrável por assinatura simples.

As fontes disponíveis não trazem assinatura, IOC ou padrão de log específico associado à exploração desta CVE. A própria CISA, ao listar a vulnerabilidade no KEV, recomenda apenas 'verificar sinais de comprometimento em todos os produtos F5 acessíveis pela internet afetados por esta vulnerabilidade' — sem detalhar quais sinais. Na ausência de indicador público confiável, a defesa prática passa por monitorar comportamento anômalo do processo APM (crashes, reinícios inesperados do daemon, uso de CPU/memória fora do padrão) em virtual servers com access policy configurada, e revisar logs de acesso a essas virtual servers por tráfego malformado ou fora do padrão esperado do fluxo de autenticação.