F5 - CVE-2026-94127

Il s'agit d'une vulnérabilité de dépassement de tampon en tas au sein du sous-système de traitement OAuth de BIG-IP APM.

BIG-IP Access Policy Manager est un module de la plateforme BIG-IP de F5 dédié à la gestion des accès distants, à l'authentification unique et à la fédération d'identité, notamment via le protocole OAuth, pour les applications publiées derrière l'appliance.

Le composant affecté s'exécute dans le Traffic Management Microkernel, le processus du plan de données de l'appliance. La faille se déclenche uniquement lorsqu'une politique d'accès APM et un profil OAuth sont configurés sur le même serveur virtuel, avec APM configuré en tant que serveur d'autorisation OAuth. Un trafic spécialement conçu envoyé vers ce serveur virtuel provoque une écriture de données au-delà des limites d'une zone mémoire allouée sur le tas. Cette écriture hors limites corrompt de la mémoire adjacente et peut altérer le flux d'exécution du processus. Aucune authentification ni interaction utilisateur n'est nécessaire pour déclencher la faille.

Elle permet à un attaquant réseau non authentifié d'exécuter du code arbitraire à distance sur l'appliance BIG-IP.