Hakkerit käyttävät F5 BIG‑IP-haavoittuvuuksia ja Linux-ydinvikoja tunkeutuakseen yritysverkkoihin – tästä on kyse

Kun hyökkääjä on saanut koodin suoritettavaksi, hän tyypillisesti asentaa verkkoshellin tai pitkäkestoisen komentotulkin. Tästä jalansijasta tulee lähtökohta oikeuksien korotukseen ja sivuttaisliikkeelle.

Vaihe 2: Oikeuksien korotus pääkäyttäjälle Linux-ydinvikojen avulla

Alkuvaiheen pääsy laitteelle ei välttämättä anna täyttä järjestelmähallintaa. Hyökkääjä saattaa päätyä rajoitettuun ympäristöön tai käyttäjätilille, jolla on rajalliset oikeudet.

Kiertääkseen nämä rajoitukset hyökkääjät voivat hyödyntää Linux-ytimen paikallisia oikeuskorotushaavoittuvuuksia (LPE), kuten:

Copy Fail (CVE‑2026‑31431)

"Copy Fail" on Linux-ytimen haavoittuvuus, joka julkistettiin huhtikuussa 2026. Se vaikuttaa ytimiin, jotka on rakennettu vuodesta 2017 lähtien. Haavoittuvuus sijaitsee algif_aead-komponentissa, joka on osa ytimen käyttäjätilan salausrajapintaa (AF_ALG).

Vika antaa rajoittamattoman prosessin vioittaa välimuistisivuja (page-cache) tiettyjen toimintojen kautta, mikä voidaan hyödyntää pääkäyttäjän oikeuksien saamiseen.

Tärkeää on, että tätä haavoittuvuutta ei voida hyödyntää etänä – se edellyttää paikallista pääsyä järjestelmään, kuten komentotulkkia, joka on saatu toisen haavoittuvuuden kautta.

Dirty Frag (CVE‑2026‑43284)

"Dirty Frag" viittaa joukkoon Linux-ytimen verkkokomponenttien haavoittuvuuksia, kuten IPsec ESP -moduuleja (esp4 ja esp6).

Nämä haavoittuvuudet antavat paikallisen käyttäjän vioittaa välimuistisivuja ytimen verkkopolkujen kautta ja korottaa oikeuksia pääkäyttäjälle useimmissa Linux-järjestelmissä.

Kuten Copy Fail, Dirty Frag on puhtaasti hyökkäyksen jälkeinen haavoittuvuus: hyökkääjän täytyy ensin saada koodi suoritettavaksi kohteessa ennen kuin sitä voi käyttää.

Vaihe 3: Sivuttaisliike reunapalvelimelta sisäverkkoon

Kun hyökkääjä on saanut pääkäyttäjän oikeudet laitteella, hän voi kerätä tunnistetietoja, varastaa todennustokeneita tai hakea tallennettuja konfiguraatiosalaisuuksia.

Tietoturvatutkijat ovat havainneet tapauksia, joissa hyökkääjät ovat siirtyneet kompromisoidusta F5-reunapalvelimesta sisäisiin yritysjärjestelmiin, kuten Confluence-palvelimille, joita käytetään yhteistyöhön ja dokumentointiin.

Reunainfrastruktuurilla on usein laajoja luottamussuhteita sisäverkossa. Kun nämä järjestelmät on murrettu, hyökkääjä voi:

• Päästä käsiksi sisäisiin hallintaverkkoihin
• Varastaa todennusevästeitä tai sertifikaatteja
• Kysellä identiteettipalveluita
• Liikkua sivuttain sovelluspalvelimille

Microsoftin tutkijat kuvaavat tämäntyyppisen hyökkäyksen kasvavaksi trendiksi: hyökkääjät kohdistavat iskunsa internetiin suunnattuihin tietoturvalaitteisiin, koska ne ovat ulkoisesti altistettuja mutta syvästi luotettuja yritysympäristöissä.

Miksi tämä hyökkäysketju on tehokas

Tämä monivaiheinen ketju toimii, koska se yhdistää haavoittuvuuksia, jotka yksittäin näyttävät rajallisilta:

• Reunapalvelimen RCE-haavoittuvuus mahdollistaa alkuvaiheen pääsyn.
• Linuxin oikeuskorotushaavoittuvuudet muuttavat tämän pääsyn täydeksi järjestelmähallinnaksi.
• Luotettu verkkoposition avulla hyökkääjä voi siirtyä sisäisiin palveluihin.

Jokainen vaihe vahvistaa edellistä. Vähäinen jalansija reunapalvelimella voi nopeasti muuttua koko yrityksen tietomurroksi, jos oikeuskorotus ja sivuttaisliikkuminen onnistuvat.

Suojautumistoimenpiteet organisaatioille

Tämän hyökkäysketjun torjunta edellyttää toimenpiteitä sekä alkuvaiheen pääsyn että jälkikäyttöisen eskalaation estämiseksi.

1. Päivitä F5 BIG‑IP-järjestelmät välittömästi

Organisaatioiden tulee päivittää haavoittuvat BIG‑IP APM -asennukset korjattuihin versioihin, jotka koskevat CVE‑2025‑53521 -haavoittuvuutta. Erityisesti internetiin altistetut asennukset on priorisoitava.

Turvallisuusviranomaiset suosittelevat näiden päivitysten käsittelemistä erittäin kiireellisinä vahvistettujen hyökkäysten vuoksi.

2. Päivitä Linux-ytimet koko infrastruktuurissa

Käytä tietoturvapäivityksiä, jotka korjaavat:

• CVE‑2026‑31431 (Copy Fail)
• CVE‑2026‑43284 ja muut Dirty Frag -haavoittuvuudet

Nämä haavoittuvuudet vaikuttavat moniin yleisiin Linux-jakeluihin ja ytimiin, jotka on julkaistu vuodesta 2017 lähtien.

3. Rajoita komentotulkin käyttöä reunapalvelimilla

Koska Copy Fail ja Dirty Frag vaativat paikallista suoritusta, komentotulkin käytön rajoittaminen tai estäminen laitteilla vähentää merkittävästi hyödyntämismahdollisuuksia.

Pääsy hallintatoimintoihin on oltava tiukasti rajattu ja valvottu.

4. Estä haavoittuvat ydinmoduulit viivästyneen päivityksen aikana

Jos päivitystä ei voida tehdä heti, voidaan tilapäisesti estää tiettyjä Dirty Frag -haavoittuvuuteen liittyviä ydinmoduuleja, kuten esp4 ja esp6, toiminnallisten vaikutusten arvioinnin jälkeen.

5. Kovenna kontit ja jaetut ydinympäristöt

Kernel-LPE-haavoittuvuudet voivat mahdollistaa konttipaon. Organisaatioiden tulisi:

• Välttää etuoikeutettuja kontteja
• Minimoida ydinmoduulien altistus
• Rajoittaa ei-luotettuja työkuormia

Nämä toimenpiteet vähentävät räjähdysvaikutusta, jos kontti tai isäntäprosessi vaarantuu.

6. Seuraa hyökkäyksen jälkeistä toimintaa

Valvonnan tulisi keskittyä signaaleihin, jotka viittaavat oikeuskorotukseen tai sivuttaisliikkeeseen:

• Odottamattomat komentotulkki-istunnot reunapalvelimilla
• Ydinmoduulien lataamisen poikkeavuudet
• Äkilliset oikeudenmuutokset pääkäyttäjälle
• Lähtevät yhteydet infrastruktuurijärjestelmistä
• Todennusyritykset sisäisiin yhteistyöalustoihin tai identiteettipalveluihin

Näyttö ja rajoitukset

Tietoturvaraportointi tukee yleistä hyökkäysmallia, jossa hyödynnetään altistettuja reunapalvelimia, nostetaan oikeuksia Linux-isännillä ja siirrytään sisäisiin palveluihin.

Julkinen näyttö siitä, että täsmälleen tämä yhdistelmä CVE‑2025‑53521:tä, Copy Failia ja Dirty Fragia olisi käytetty yhdessä kampanjassa useita uhreja vastaan, on kuitenkin rajallista. Haavoittuvuudet ovat teoriassa yhteensopivia ja teknisesti ketjutettavissa, mutta hyökkääjien taktiikat voivat vaihdella ympäristöittäin.

Suurempi tietoturvaopetus

Reunapalvelimia on perinteisesti pidetty kovennettuina tietoturvalaitteina. Käytännössä niistä on tulossa yhä useammin korkean arvon alkupäätepisteitä.

Kun ulkoisesti altistettu laite pyörittää Linuxia sisäisesti, mikä tahansa oikeuskorotusvika tässä ekosysteemissä voi tulla osaksi laajempaa hyökkäysketjua. Tämä todellisuus tekee nopeasta päivittämisestä, tiukoista pääsynvalvonnasta ja vahvasta valvonnasta reunainfrastruktuurin ympärillä kriittistä modernille yritysturvallisuudelle.