CVE-2025-54854
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Gdy profil dostępu OAuth BIG-IP APM (Resource Server lub Resource Client) jest skonfigurowany na serwerze wirtualnym, nieujawniony ruch może spowodować zakończenie procesu apmd.
Ocena ryzyka
Atakujący może zdalnie doprowadzić do awarii procesu apmd, co może zakłócić uwierzytelnianie OAuth i dostęp do chronionych zasobów.
Rekomendacja
Zaktualizuj BIG-IP do wersji zawierającej poprawkę. Rozważ ograniczenie ekspozycji serwerów wirtualnych z profilem OAuth APM do zaufanych źródeł.
Inne podatności w BIG-IP APM
Zobacz wszystkie- CVE-2026-94127KrytyczneAktywnie exploitowane
Gdy na serwerze wirtualnym BIG-IP skonfigurowane są jednocześnie polityka dostępu APM oraz profil OAuth, specjalnie spreparowany ruch może doprowadzić do zdalnego wykonania kodu (RCE). Podatność występuje wyłącznie, gdy BIG-IP APM działa jako serwer autoryzacji OAuth; wdrożenia używające APM wyłącznie jako klienta/serwera zasobów OAuth nie są narażone.
- CVE-2026-40067Wysokie
Podatność w BIG-IP APM powoduje, że nieokreślony ruch może doprowadzić do zatrzymania procesu apmd, gdy polityka dostępu APM jest skonfigurowana na wirtualnym serwerze.
- CVE-2025-61933Średnie
W nieujawnionej stronie BIG-IP APM istnieje podatność typu reflected cross-site scripting (XSS), która pozwala atakującemu na uruchomienie kodu JavaScript w kontekście zalogowanego użytkownika. Wersje oprogramowania, które osiągnęły koniec wsparcia technicznego (EoTS), nie są oceniane.
- CVE-2025-61960Wysokie
Gdy polityka per-request jest skonfigurowana na wirtualnym serwerze portalu dostępowego BIG-IP APM, nieujawniony ruch może spowodować zakończenie działania Traffic Management Microkernel (TMM). Uwaga: wersje oprogramowania, które osiągnęły koniec wsparcia technicznego (EoTS), nie są oceniane.
Oryginalny opis (angielski, źródło NVD)
When a BIG-IP APM OAuth access profile (Resource Server or Resource Client) is configured on a virtual server, undisclosed traffic can cause the apmd process to terminate. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS