Vulnérabilités F5 activement exploitées (KEV)

CVE-2026-94127 — F5 BIG-IP APM : dépassement de tampon dans le tas Critique

• Produit : F5 BIG-IP APM
• Ajoutée au catalogue : 22 septembre 2026
• Échéance CISA : 25 septembre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-122
• Gravité : CVSS 9,3 (critique)
• Probabilité d’exploitation (EPSS) : 27 %

F5 BIG-IP APM contient une vulnérabilité de dépassement de tampon dans le tas lorsque une politique d'accès et un profil OAuth sont configurés sur un serveur virtuel. Cette vulnérabilité pourrait permettre à un attaquant non authentifié d'exécuter du code à distance.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2025-53521 — F5 BIG-IP : dépassement de tampon basé sur la pile Critique

• Produit : F5 BIG-IP
• Ajoutée au catalogue : 27 mars 2026
• Échéance CISA : 30 mars 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-121
• Gravité : CVSS 9,3 (critique)
• Probabilité d’exploitation (EPSS) : 2 %

F5 BIG-IP APM contient une vulnérabilité de dépassement de tampon basé sur la pile qui pourrait permettre à un acteur malveillant d'obtenir une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · my.f5.com · my.f5.com

Fiche détaillée : versions, références, chronologie →

CVE-2023-46748 — F5 BIG-IP Configuration Utility : vulnérabilité d'injection SQL

• Produit : F5 BIG-IP Configuration Utility
• Ajoutée au catalogue : 31 octobre 2023
• Échéance CISA : 21 novembre 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-89
• Gravité : CVSS 8,8 (élevée)
• Probabilité d’exploitation (EPSS) : 4 %

L'utilitaire de configuration F5 BIG-IP contient une vulnérabilité d'injection SQL qui pourrait permettre à un attaquant authentifié ayant un accès réseau via le port de gestion BIG-IP et/ou les adresses IP auto-configurées d'exécuter des commandes système. cette vulnérabilité peut être utilisée conjointement avec CVE-2023-46747.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · my.f5.com

CVE-2023-46747 — F5 BIG-IP Configuration Utility : contournement de l'authentification Critique

• Produit : F5 BIG-IP Configuration Utility
• Ajoutée au catalogue : 31 octobre 2023
• Échéance CISA : 21 novembre 2023
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-288
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 97 %

L'utilitaire de configuration F5 BIG-IP contient une vulnérabilité de contournement de l'authentification due à une vulnérabilité de chemin ou de canal alternatif, permettant à un attaquant non authentifié ayant un accès réseau au système BIG-IP via le port de gestion et/ou les adresses IP auto-gérées d'exécuter des commandes système. cette vulnérabilité peut être utilisée conjointement avec CVE-2023-46748.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · my.f5.com

Fiche détaillée : versions, références, chronologie →

CVE-2022-1388 — F5 BIG-IP : vulnérabilité d'authentification manquante Critique

• Produit : F5 BIG-IP
• Ajoutée au catalogue : 10 mai 2022
• Échéance CISA : 31 mai 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-306
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %

F5 BIG-IP contient une vulnérabilité d'authentification manquante dans une fonction critique qui peut permettre une exécution de code à distance, la création ou la suppression de fichiers, ou la désactivation de services.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2021-22991 — F5 BIG-IP Traffic Management Microkernel : dépassement de tampon

• Produit : F5 BIG-IP Traffic Management Microkernel
• Ajoutée au catalogue : 18 janvier 2022
• Échéance CISA : 1 février 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-119
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 62 %

Le microkernel de gestion du trafic de big-ip asm risk engine présente une vulnérabilité de dépassement de tampon, entraînant un contournement des contrôles d'accès basés sur l'url.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2021-22986 — F5 BIG-IP et BIG-IQ Centralized Management : exécution de code à distance via iControl REST Critique

• Produit : F5 BIG-IP and BIG-IQ Centralized Management
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 17 novembre 2021
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-863
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 100 %

F5 BIG-IP et BIG-IQ Centralized Management contiennent une vulnérabilité d'exécution de code à distance dans l'interface iControl REST qui permet à des attaquants non authentifiés ayant un accès réseau d'exécuter des commandes système, de créer ou de supprimer des fichiers et de désactiver des services.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2020-5902 — F5 BIG-IP : exécution de code à distance dans l'interface utilisateur de gestion du trafic (TMUI) Critique

• Produit : F5 BIG-IP
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-22
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %

L'interface utilisateur de gestion du trafic (TMUI) de F5 BIG-IP contient une vulnérabilité d'exécution de code à distance dans des pages non divulguées.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →