Wie Angreifer F5‑BIG‑IP‑RCE mit Linux‑Privilege‑Escalation kombinieren

Der erste Zugriff auf das System liefert häufig noch keine vollständige Kontrolle. Angreifer landen oft zunächst in einer eingeschränkten Umgebung oder unter einem niedrig privilegierten Benutzerkonto.

Um diese Beschränkungen zu umgehen, werden Linux‑Kernel‑Lücken zur lokalen Privilege Escalation (LPE) ausgenutzt.

Copy Fail (CVE‑2026‑31431)

Die Schwachstelle „Copy Fail“ wurde im April 2026 veröffentlicht und betrifft Linux‑Kernel‑Versionen, die seit 2017 gebaut wurden. Sie befindet sich im Modul algif_aead, das Teil der Userspace‑Krypto‑Schnittstelle (AF_ALG) des Kernels ist.

Durch bestimmte Operationen kann ein unprivilegierter Prozess den Page‑Cache‑Speicher manipulieren. Diese Manipulation lässt sich anschließend nutzen, um Root‑Rechte zu erlangen.

Wichtig: Die Schwachstelle ist nicht direkt aus der Ferne ausnutzbar. Ein Angreifer benötigt bereits lokalen Zugriff – etwa über eine zuvor erlangte Shell.

Dirty Frag (CVE‑2026‑43284)

Unter dem Namen „Dirty Frag“ werden mehrere Linux‑Kernel‑Probleme zusammengefasst, die unter anderem die IPsec‑ESP‑Module esp4 und esp6 betreffen.

Ein lokaler Benutzer kann dabei Kernel‑Netzwerkpfade missbrauchen, um ebenfalls Page‑Cache‑Speicher zu manipulieren und schließlich Root‑Privilegien zu erlangen.

Auch diese Schwachstelle ist nur nach einer Kompromittierung nutzbar – sie dient also als Verstärker nach dem ersten Einbruch.

Schritt 3: Vom Edge‑System ins interne Netzwerk

Sobald Angreifer Root‑Zugriff auf eine Appliance erhalten, können sie sensible Informationen auslesen, zum Beispiel:

• gespeicherte Zugangsdaten
• Authentifizierungs‑Token
• Zertifikate
• Konfigurations‑Secrets

Sicherheitsforscher haben Fälle beobachtet, in denen Angreifer von einem kompromittierten F5‑System aus auf interne Dienste zugriffen, etwa auf Confluence‑Server für Dokumentation und Zusammenarbeit.

Solche Systeme enthalten oft interne Zugangsdaten oder API‑Tokens und können daher als Sprungbrett für weitere Angriffe dienen.

Edge‑Appliances genießen innerhalb des Netzwerks häufig großes Vertrauen. Wird ein solches System kompromittiert, können Angreifer beispielsweise:

• interne Management‑Netze erreichen
• Authentifizierungs‑Cookies oder Zertifikate stehlen
• Identitäts‑ und Verzeichnisdienste abfragen
• sich seitlich zu Applikations‑ oder Datenbankservern bewegen

Microsoft beschreibt dieses Angriffsmuster als zunehmenden Trend: Internet‑exponierte Sicherheitsgeräte sind zwar Schutzkomponenten, gleichzeitig aber hoch privilegierte Einstiegspunkte, wenn sie kompromittiert werden.

Warum diese Angriffskette so effektiv ist

Die Stärke dieser Angriffskette liegt darin, dass mehrere scheinbar begrenzte Schwachstellen kombiniert werden:

• Edge‑RCE‑Lücken liefern den ersten Zugriff.
• Linux‑Privilege‑Escalation‑Bugs verschaffen vollständige Systemkontrolle.
• Vertrauensbeziehungen im Netzwerk ermöglichen seitliche Bewegungen.

Ein anfänglich eingeschränkter Zugriff auf ein Grenzsystem kann dadurch schnell zu einem umfassenden Unternehmens‑Einbruch eskalieren.

Wichtige Verteidigungsmaßnahmen

Um diese Angriffskette zu verhindern, müssen sowohl der Einstiegspunkt als auch spätere Eskalationsschritte abgesichert werden.

1. F5 BIG‑IP sofort patchen

Organisationen sollten alle betroffenen BIG‑IP‑APM‑Installationen auf Versionen aktualisieren, die CVE‑2025‑53521 beheben – besonders Systeme mit direkter Internet‑Exposition.

Sicherheitsbehörden empfehlen, diese Updates mit hoher Priorität einzuspielen, da aktive Ausnutzung gemeldet wurde.

2. Linux‑Kernel aktualisieren

Installieren Sie Sicherheitsupdates für:

• CVE‑2026‑31431 (Copy Fail)
• CVE‑2026‑43284 und weitere Dirty‑Frag‑Lücken

Viele gängige Linux‑Distributionen und Kernel‑Versionen seit 2017 sind betroffen.

3. Shell‑Zugriff auf Appliances einschränken

Da Copy Fail und Dirty Frag lokalen Code erfordern, reduziert das Einschränken oder Deaktivieren von Shell‑Zugriff auf Edge‑Geräten das Risiko erheblich.

Administrative Zugriffe sollten streng kontrolliert und überwacht werden.

4. Riskante Kernel‑Module temporär deaktivieren

Wenn ein Patch kurzfristig nicht möglich ist, können Administratoren vorübergehend verwundbare Module blockieren – etwa esp4 und esp6, die mit Dirty Frag in Verbindung stehen.

Vorher sollte jedoch geprüft werden, ob diese Module für IPsec‑Funktionen benötigt werden.

5. Container‑Umgebungen härten

Kernel‑LPE‑Lücken können auch Container‑Escape‑Szenarien ermöglichen. Sinnvolle Maßnahmen sind:

• keine privilegierten Container
• minimale Kernel‑Modul‑Exposition
• strikte Isolation nicht vertrauenswürdiger Workloads

6. Post‑Exploitation‑Aktivitäten überwachen

Erkennungs‑ und Monitoring‑Systeme sollten besonders auf folgende Signale achten:

• unerwartete Shell‑Sitzungen auf Edge‑Appliances
• ungewöhnliche Kernel‑Modul‑Aktivitäten
• plötzliche Privilege‑Escalations zu Root
• ausgehende Verbindungen von Infrastruktur‑Systemen
• verdächtige Anmeldeversuche bei internen Diensten wie Confluence oder Identitätsplattformen

Ein wichtiger Kontext

Das grundlegende Angriffsmuster – Kompromittierung eines Edge‑Geräts, anschließend Privilege‑Escalation auf Linux und laterale Bewegung ins interne Netzwerk – ist durch Sicherheitsberichte gut dokumentiert.

Allerdings gibt es bislang nur begrenzte öffentliche Belege dafür, dass Angreifer in großem Umfang genau diese Kombination aus CVE‑2025‑53521, Copy Fail und Dirty Frag in einer einzigen Kampagne einsetzen. Die Schwachstellen lassen sich technisch miteinander kombinieren, doch reale Angriffe können je nach Umgebung unterschiedliche Exploit‑Ketten verwenden.

Die zentrale Sicherheitslektion

Edge‑Appliances galten lange als besonders gehärtete Sicherheitskomponenten. In der Praxis entwickeln sie sich jedoch zunehmend zu hochwertigen Einstiegspunkten für Angreifer.

Wenn ein öffentlich erreichbares Gerät intern auf Linux basiert, kann praktisch jede Privilege‑Escalation‑Schwachstelle im Kernel Teil einer größeren Angriffskette werden. Deshalb sind schnelles Patchen, eingeschränkter Zugriff und umfassendes Monitoring rund um Edge‑Infrastruktur heute entscheidend für die Unternehmenssicherheit.