-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

各位

                                                   JPCERT-AT-2026-0028
                                                             JPCERT/CC
                                                            2026-09-24

                <<< JPCERT/CC Alert 2026-09-24 >>>

F5 BIG-IP Access Policy Managerにおけるヒープベースのバッファオーバーフローの脆弱性（CVE-2026-94127）に関する注意喚起

            https://www.jpcert.or.jp/at/2026/at260028.html


I. 概要
F5は、2026年9月22日にBIG-IP APM（Access Policy Manager）におけるヒープ
ベースのバッファオーバーフローの脆弱性（CVE-2026-94127）に関するアドバ
イザリを公表しました。当該製品がOAuth Authorization Serverとして構成さ
れ、仮想サーバーにAPM access policyとOAuth profileが設定されている場合、
本脆弱性の悪用により、認証されていないリモートの攻撃者が任意のコードを
実行する可能性があります。なお、F5は、本脆弱性が悪用されているとしてい
ます。

    F5
    K000162605: BIG-IP APM vulnerability CVE-2026-94127
    https://my.f5.com/manage/s/article/K000162605

JPCERT/CCでは、当該製品が国内で広く利用されていることを確認しています。
また、watchTowr Labsから詳細解説が公表され、リモートコード実行に至る過
程が示されています。今後、本脆弱性を悪用するエクスプロイトコードが公表
され、脆弱性を悪用する攻撃が広く行われる可能性があります。当該製品を使
用している場合、後述「III. 対策」「V. 侵害検出方法」に記載の情報および
F5が提供する最新の情報をご確認の上、対策の実施とあわせて機器が侵害され
ていないかどうかの調査の実施をご検討ください。


II. 対象
本脆弱性の対象となる製品およびバージョンは次のとおりです。詳細は、開発
元が提供する最新の情報をご確認ください。

BIG-IP APM
  - 21系：21.1.0
  - 17系：17.5.0から17.5.1まで、17.1.0から17.1.3まで


III. 対策
F5が提供する最新の情報を確認の上、影響を受けるバージョンを使用している
場合、脆弱性を修正するホットフィックスの適用を検討してください。


IV. 緩和策
ホットフィックスが適用できない場合、F5は本脆弱性の影響を軽減するための
暫定策として、BIG-IP APM仮想サーバーに適用可能なiRuleを提供しています。
詳細は、F5が提供する最新の情報をご確認ください。


V. 侵害検出方法
F5から侵害検出方法が提供されています。侵害の有無を確認する際には、次の
点をご確認ください。これらの痕跡が確認された場合、当該製品が侵害された
可能性を踏まえ、さらなる調査の実施を推奨します。

  - "/var/log/apm"のログメッセージを確認し、ログID「01990004」のOAuth UserInfo要求失敗イベントが10回以上繰り返し記録されていないかを確認する
    ※単一の送信元IPアドレスから送信されている場合は特に注意が必要とのことです
  - "tmctl global_oauth_stat -s total_requests,total_userinfo_requests,total_failed"のコマンドを実行してOAuthの失敗に関する統計情報を出力し、説明できないOAuthの失敗の急増がないかを確認する
  - OAuthの失敗が特に短時間に連続して確認された場合、同じ時間帯の"/var/log/audit"の監査ログメッセージを確認する
  - TMMコアファイルが生成されていないかを確認する
    ※TMMがループ状態に陥ると、SODデーモンがSIGABRTを送信し、その結果コアファイルが生成されるとのことです。当該ファイルを確認した場合は他の事象とあわせて調査を実施してください

また、上記の痕跡を確認した場合、watchTowr Labsが公表した詳細解説で実証
された攻撃手法を踏まえ、次の点もあわせてご確認ください。

  - "/f5-oauth2/v1/userinfo" に対して、異常に長いAuthorizationヘッダーを含む細工したHTTPリクエストを送信されていないかを確認する
    ※上記以外のパスにも細工したHTTPリクエストが送信される可能性があります
  - "/etc/bigstart/scripts/tmm.finish" のファイルが改ざんされていないことを確認する


VI. 参考情報
    watchTowr Labs
    Is This A Joke? In The Auth Header? (F5 BIG-IP UnAuth Heap-Overflow to RCE CVE-2026-94127)
    https://labs.watchtowr.com/is-this-a-joke-in-the-auth-header-f5-big-ip-unauth-heap-overflow-to-rce-cve-2026-94127/


今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまで
ご連絡ください。

======================================================================
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
サイバーセキュリティコーディネーショングループ
Email：ew-info@jpcert.or.jp
-----BEGIN PGP SIGNATURE-----
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=caAG
-----END PGP SIGNATURE-----