CVE-2026-24464CVE-2026-24464 是 F5 BIG-IP 设备在 Appliance 模式下运行时存在的一个安全漏洞。该漏洞源于某个未公开的 iControl REST 端点未能正确验证用户输入路径，导致目录遍历缺陷。已获得身份验证且具有管理员角色权限的攻击者可利用此漏洞跨越安全边界，删除系统上的关键文件。此漏洞攻击复杂度低，无需用户交互，但要求攻击者拥有高权限账户。尽管机密性影响有限，但由于可能导致关键数据丢失，完整性影响较高。请注意，已达到技术支持终止（EoTS）的软件版本不在评估范围内。
该漏洞的技术原理在于 F5 BIG-IP 的 iControl REST 接口在处理文件操作请求时，缺乏对路径遍历字符（如 '../'）的充分过滤。当设备处于 Appliance 模式时，特定的 REST 端点暴露了文件管理功能。攻击者首先需要通过网络访问目标设备，并使用拥有管理员权限的凭证进行身份认证，获取有效的 API 令牌。随后，攻击者向受影响的端点发送精心构造的 HTTP POST 或 DELETE 请求，在路径参数中注入目录遍历序列。由于服务端未对路径进行标准化处理或安全边界检查，攻击者能够将文件操作导向预期的根目录之外，从而删除非授权目录下的文件。这种利用方式虽然不能直接执行代码，但可通过删除系统配置或组件文件破坏系统完整性。