KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengoperasikan F5 BIG-IP dengan modul Access Policy Manager (APM) untuk segera menindaklanjuti CVE-2026-94127, kerentanan remote code execution berskor CVSS 9,3 (Critical). Kerentanan ini masuk katalog Known Exploited Vulnerabilities (KEV) CISA pada 22 September 2026, yang berarti sudah dieksploitasi di dunia nyata.
Ikhtisar
CVE-2026-94127 adalah heap-based buffer overflow (CWE-122) pada BIG-IP APM, dengan vektor CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Kerentanan muncul ketika access policy APM dan profil OAuth dikonfigurasi pada virtual server yang berfungsi sebagai OAuth Authorization Server. Lalu lintas berbahaya yang dirancang khusus dapat memicu eksekusi kode tanpa autentikasi.
Menurut NVD, penerapan APM murni sebagai OAuth Client atau Resource Server, tanpa profil OAuth authorization server, tidak terdampak. Kerentanan menyerang data plane, termasuk pada sistem BIG-IP dalam Appliance mode.
Dampak
- Penyerang tanpa kredensial dapat menjalankan kode pada perangkat BIG-IP lewat lalu lintas biasa ke virtual server yang terdampak.
- BIG-IP APM umumnya berada di tepi jaringan sebagai gerbang akses aplikasi dan penyedia login. Pengambilalihan perangkat ini membuka jalan ke aplikasi yang berada di belakangnya serta ke kredensial dan token yang melewatinya.
- Eksploitasi tidak memerlukan akses ke antarmuka pengelolaan, sehingga pembatasan akses administrasi saja tidak cukup.
Sistem yang Terdampak
| Produk | Versi Terdampak | Versi Perbaikan |
|---|---|---|
| F5 BIG-IP APM 17.1.x | 17.0.0 hingga 17.1.3 | Engineering hotfix F5 untuk cabang 17.1.x (lihat K000162605) |
| F5 BIG-IP APM 17.5.x | 17.5.0 hingga 17.5.1 | Engineering hotfix F5 untuk cabang 17.5.x (lihat K000162605) |
| F5 BIG-IP APM 21.1.x | 21.1.0 | Engineering hotfix F5 untuk cabang 21.1.x (lihat K000162605) |
Prasyarat: APM access policy dan profil OAuth dikonfigurasi pada virtual server yang bertindak sebagai OAuth Authorization Server. Perbaikan berupa engineering hotfix; nama paket hotfix dan ketersediaannya per cabang tercantum di K000162605.
Detail Teknis
Penanganan memori yang tidak aman pada jalur pemrosesan OAuth di APM menyebabkan data yang ditulis melampaui batas penyangga di area heap. Kondisi ini dapat dimanfaatkan untuk mengubah alur eksekusi dan menjalankan kode. Pemicunya adalah lalu lintas data jaringan biasa, tanpa autentikasi dan tanpa interaksi pengguna (PR:N, UI:N).
Karena itu, perangkat yang tidak memakai fungsi OAuth Authorization Server pada APM tidak berada pada kondisi rentan, tetapi tetap perlu diperiksa konfigurasinya. Rincian eksploitasi tidak kami muat di sini.
Rekomendasi
- Inventarisasi perangkat BIG-IP, lalu periksa apakah modul APM aktif dan apakah ada virtual server yang memakai profil OAuth sebagai authorization server.
- Pasang engineering hotfix sesuai cabang versi pada tabel, atau versi terbaru dari F5 sesuai K000162605.
- Bila hotfix belum dapat dipasang, terapkan mitigasi sementara dari F5 (iRule) sesuai K000162605, atau nonaktifkan konfigurasi APM sebagai OAuth Authorization Server jika fungsinya tidak dipakai.
- Batasi lalu lintas ke virtual server yang terdampak hanya dari sumber yang dibutuhkan.
- Simpan bukti forensik sebelum menambal (CISA mensyaratkan forensic triage): log APM, log administrasi, serta kegagalan OAuth yang tidak lazim.
- Tinjau perubahan konfigurasi dan akun administrator yang tidak dikenal.
- Laporkan ke KUTIM-CSIRT melalui kanal pelaporan resmi apabila ditemukan indikasi penyusupan.
Catatan Status Eksploitasi
Berdasarkan katalog CISA KEV, CVE-2026-94127 sudah dieksploitasi aktif dan ditambahkan pada 22 September 2026. Penambalan dan pemeriksaan kompromi perlu diperlakukan sebagai prioritas tertinggi.