F5 BIG-IP APM OAuth 권한 부여 서버 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-94127)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTOAuth Authorization Server 프로필이 활성화된 F5 BIG-IP APM 가상 서버
인증되지 않은 공격자가 특수하게 조작된 네트워크 트래픽을 통해 시스템 권한으로 임의 코드를 실행(RCE)하고 장비를 완전히 장악할 수 있음
제조사(F5)에서 제공하는 최신 보안 패치 및 Hotfix를 즉시 적용하고, 패치 전까지 해당 프로필 비활성화 검토
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND최우선 조치는 F5 공식 권고(K000162605)에 따라 취약점이 해결된 버전으로 업그레이드하는 것입니다. 즉각적인 패치가 불가능한 경우 다음과 같은 완화 조치를 시행하십시오.
- OAuth 프로필 비활성화: 가상 서버 설정에서 OAuth Authorization Server 프로필을 일시적으로 제거합니다.
- iRules 적용: 비정상적인 OAuth 요청 패턴을 탐지하고 차단하는 iRule을 작성하여 적용합니다.
# 예시: 특정 비정상 헤더 길이를 제한하는 iRule (참고용)
when HTTP_REQUEST {
if { [HTTP::header exists "Authorization"] && [string length [HTTP::header "Authorization"]] > 4096 } {
reject
}
}- Appliance Mode: 장비가 Appliance Mode인 경우에도 취약하므로 예외 없이 패치를 적용해야 합니다.
반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
본 취약점(CVE-2026-94127)은 F5 BIG-IP APM의 OAuth 처리 로직에서 발생하는 힙 기반 버퍼 오버플로우(CWE-122) 결함입니다. BIG-IP APM이 OAuth Authorization Server 역할을 수행할 때, 유입되는 특정 악성 트래픽의 페이로드를 처리하는 과정에서 메모리 경계 검사가 미흡하여 발생합니다. 공격자는 인증 없이도 데이터 평면(Data Plane)을 통해 조작된 요청을 전송함으로써 메모리 구조를 파괴하고 실행 흐름을 가로챌 수 있습니다. 특히 CISA KEV(Known Exploited Vulnerabilities)에 등재되고 EPSS 점수가 0.94에 달하는 만큼, 실제 공격 시도가 매우 활발하게 이루어지고 있는 고위험 취약점입니다.
공식 보안 권고문 및 참조 링크
When a BIG-IP APM access policy and an OAuth profile are configured on a virtual server, specific malicious traffic can lead to remote code execution (RCE). This vulnerability is only present when BIG-IP APM is configured as an OAuth Authorization Server. Deployments using APM strictly as an OAuth Client / Resource Server (without OAuth authorization server profiles configured) are not affected by this vulnerability. Impact: This vulnerability allows an unauthenticated attacker to perform remote code execution. The BIG-IP system in Appliance mode is also vulnerable. This is a data plane issue; there is no control plane exposure. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.