उत्तरप्रकाशित20 स्रोत
F5 BIG‑IP से शुरू होकर Linux Root तक: आधुनिक एंटरप्राइज साइबर‑हमलों की नई चेन
हमलावर इंटरनेट‑फेसिंग F5 BIG‑IP APM उपकरणों में मौजूद RCE कमजोरी (CVE‑2025‑53521) का फायदा उठाकर नेटवर्क में शुरुआती पहुंच हासिल कर लेते हैं। इसके बाद Linux kernel की स्थानीय privilege‑escalation कमजोरियां—Copy Fail (CVE‑2026‑31431) और Dirty Frag (CVE‑2026‑43284)—का उपयोग करके सीमित एक्सेस को root नियंत्रण में बदल द...
AI संकेत
openai.comCreate a landscape editorial hero image for this Studio Global article: How are hackers chaining vulnerabilities in internet‑facing F5 BIG‑IP appliances with Linux privilege‑escalation bugs like CopyFail (CVE‑202. Article summary: Hackers are reportedly using a two-step chain: first they gain initial access on exposed F5 BIG‑IP APM devices through a remotely exploitable flaw such as CVE‑2025‑53521, then they use Linux local privilege-escalation bu. Topic tags: general, government, education, documentation, general web. Reference image context from search candidates: Reference image 1: visual subject "A local privilege escalation (LPE) vulnerability, dubbed Copy Fail (CVE-2026-31431), has been identified in the Linux kernel's `authencesn` cryptographic template. This logic flaw" source context "Weekly Threat Bulletin – May 6th, 2026 | F5 Labs" Reference image 2: visual subject "# CVE-2026
इंटरनेट से सीधे जुड़े सुरक्षा उपकरण—जैसे VPN गेटवे या एक्सेस मैनेजमेंट सिस्टम—अब बड़े एंटरप्राइज साइबर हमलों का शुरुआती बिंदु बनते जा रहे हैं। हाल के सुरक्षा विश्लेषणों में देखा गया है कि हमलावर पहले F5 BIG‑IP Access Policy Manager (APM) जैसे इंटरनेट‑फेसिंग डिवाइस को निशाना बनाते हैं और फिर Linux kernel की privilege‑escalation कमजोरियों का उपयोग करके पूरे सिस्टम पर नियंत्रण हासिल कर लेते हैं।
इस तरह के हमलों में आमतौर पर तीन चरण होते हैं: edge डिवाइस पर शुरुआती घुसपैठ, सिस्टम के अंदर अधिकार बढ़ाना (privilege escalation), और फिर कंपनी के आंतरिक नेटवर्क में आगे बढ़ना।
चरण 1: इंटरनेट‑फेसिंग F5 BIG‑IP डिवाइस से शुरुआती घुसपैठ
कई कंपनियां कर्मचारियों को VPN, सिंगल‑साइन‑ऑन या सुरक्षित रिमोट एक्सेस देने के लिए F5 BIG‑IP APM को सीधे इंटरनेट से जोड़ती हैं। यही वजह है कि यह डिवाइस हमलावरों के लिए एक आकर्षक लक्ष्य बन जाता है।
एक गंभीर कमजोरी CVE‑2025‑53521 के रूप में दर्ज की गई है। यदि किसी वर्चुअल सर्वर पर APM एक्सेस पॉलिसी कॉन्फ़िगर हो, तो खास तरह का दुर्भावनापूर्ण ट्रैफिक भेजकर हमलावर बिना लॉग‑इन किए ही रिमोट कोड चला सकते हैं।
सफल हमले के बाद हमलावर अक्सर वेब‑शेल इंस्टॉल कर देते हैं या एक स्थायी कमांड‑लाइन सत्र बना लेते हैं। इसके बाद वही उपकरण आगे के हमलों के लिए “स्टेजिंग पॉइंट” बन जाता है।
चरण 2: Linux Kernel कमजोरियों से Root अधिकार हासिल करना
शुरुआती एक्सेस मिलने के बाद भी हमलावर के पास अक्सर सीमित अधिकार होते हैं। कई बार वे केवल कम‑अधिकार वाले यूज़र या प्रतिबंधित वातावरण में होते हैं।
इसी स्थिति में Linux kernel की Local Privilege Escalation (LPE) कमजोरियां काम आती हैं।
Copy Fail (CVE‑2026‑31431)
“Copy Fail” नाम की Linux kernel कमजोरी अप्रैल 2026 में सामने आई। यह algif_aead कंपोनेंट में मौजूद लॉजिक त्रुटि से जुड़ी है, जो kernel के userspace cryptography इंटरफेस (AF_ALG) का हिस्सा है।
इस कमजोरी का उपयोग करके कोई भी कम‑अधिकार वाला लोकल प्रोसेस page‑cache मेमोरी को भ्रष्ट कर सकता है और अंततः root एक्सेस प्राप्त कर सकता है।
महत्वपूर्ण बात यह है कि Copy Fail को अकेले दूर से एक्सप्लॉइट नहीं किया जा सकता। इसके लिए पहले से सिस्टम पर लोकल एक्सेस या शेल होना जरूरी है—जैसे कि किसी अन्य कमजोरी के जरिए मिला हो।
Dirty Frag (CVE‑2026‑43284)
“Dirty Frag” Linux kernel की कमजोरियों का एक समूह है जो नेटवर्किंग से जुड़े हिस्सों—जैसे IPsec ESP मॉड्यूल (esp4 और esp6)—को प्रभावित करता है।
इन कमजोरियों के जरिए भी एक लोकल यूज़र kernel की page‑cache मेमोरी को प्रभावित करके root अधिकार प्राप्त कर सकता है।
Copy Fail की तरह Dirty Frag भी post‑exploitation कमजोरी है—यानी इसे इस्तेमाल करने से पहले हमलावर को सिस्टम पर किसी न किसी रूप में कोड चलाने की अनुमति मिलनी चाहिए।
चरण 3: Edge से कंपनी के अंदरूनी सिस्टम तक पहुंच
जब हमलावर को edge डिवाइस पर root नियंत्रण मिल जाता है, तो वह वहां से कई संवेदनशील जानकारियां निकाल सकता है—जैसे पासवर्ड, प्रमाणपत्र, सेशन टोकन या कॉन्फ़िगरेशन सीक्रेट्स।
सुरक्षा शोधकर्ताओं ने ऐसे मामलों की पहचान की है जहां हमलावरों ने F5 edge डिवाइस से कंपनी के अंदर मौजूद Confluence सर्वर तक पहुंच बना ली, जो अक्सर टीमों के डॉक्यूमेंटेशन और सहयोग के लिए इस्तेमाल होता है।
क्योंकि edge उपकरण अक्सर आंतरिक नेटवर्क में भरोसेमंद माने जाते हैं, एक बार इनके समझौता होने पर हमलावर कई काम कर सकते हैं:
- आंतरिक मैनेजमेंट नेटवर्क तक पहुंच
- प्रमाणीकरण कुकी या प्रमाणपत्र चोरी करना
- पहचान (identity) सेवाओं से डेटा निकालना
- अन्य एप्लिकेशन सर्वरों में lateral movement करना
Microsoft के सुरक्षा शोधकर्ताओं के अनुसार, इंटरनेट‑फेसिंग सुरक्षा उपकरणों को लक्ष्य बनाना आधुनिक हमलों में तेजी से बढ़ता हुआ रुझान है, क्योंकि ये बाहर से खुले होते हैं लेकिन अंदर के नेटवर्क में अत्यधिक भरोसेमंद होते हैं।
यह हमला इतना प्रभावी क्यों है
यह हमला कई कमजोरियों को जोड़कर काम करता है, जिनमें से हर एक अकेले उतनी खतरनाक नहीं लगती:
- Edge RCE कमजोरी शुरुआती एक्सेस देती है।
- Linux privilege‑escalation बग उस एक्सेस को root नियंत्रण में बदल देते हैं।
- नेटवर्क में भरोसेमंद स्थिति हमलावर को अंदर के सिस्टम तक जाने का रास्ता देती है।
इस तरह एक छोटा सा प्रवेश बिंदु पूरे एंटरप्राइज नेटवर्क के समझौते में बदल सकता है।
संगठनों के लिए प्रमुख सुरक्षा कदम
इस प्रकार के बहु‑स्तरीय हमलों से बचने के लिए शुरुआती प्रवेश और बाद की privilege escalation—दोनों पर ध्यान देना जरूरी है।
1. F5 BIG‑IP सिस्टम तुरंत अपडेट करें
जिन संगठनों के पास इंटरनेट‑फेसिंग BIG‑IP APM डिवाइस हैं, उन्हें CVE‑2025‑53521 के लिए उपलब्ध पैच तुरंत लागू करने चाहिए।
कई सुरक्षा एजेंसियों ने सक्रिय शोषण की रिपोर्ट मिलने के कारण इसे उच्च प्राथमिकता वाला अपडेट बताया है।
2. Linux Kernel को अपडेट करें
निम्न कमजोरियों के लिए सुरक्षा अपडेट लागू करें:
- CVE‑2026‑31431 (Copy Fail)
- CVE‑2026‑43284 और संबंधित Dirty Frag कमजोरियां
ये कमजोरियां 2017 के बाद जारी कई Linux kernel संस्करणों को प्रभावित करती हैं।
3. Edge उपकरणों पर Shell एक्सेस सीमित करें
क्योंकि Copy Fail और Dirty Frag के लिए लोकल एक्सेस जरूरी है, इसलिए edge उपकरणों पर shell एक्सेस सीमित या बंद करना जोखिम को काफी कम कर सकता है।
4. जोखिम वाले Kernel मॉड्यूल अस्थायी रूप से बंद करें
यदि तुरंत पैच करना संभव नहीं है, तो कुछ kernel मॉड्यूल—जैसे esp4 और esp6—को अस्थायी रूप से ब्लॉक किया जा सकता है, बशर्ते इससे सिस्टम के सामान्य संचालन पर असर न पड़े।
5. कंटेनर और साझा‑kernel वातावरण को सुरक्षित करें
Kernel LPE कमजोरियां कंटेनर‑एस्केप का कारण बन सकती हैं। इसलिए:
- privileged कंटेनर से बचें
- अनावश्यक kernel मॉड्यूल एक्सपोज़र कम करें
- अविश्वसनीय वर्कलोड को सीमित करें
6. संदिग्ध गतिविधियों की निगरानी बढ़ाएं
सुरक्षा टीमों को खास तौर पर इन संकेतों पर नजर रखनी चाहिए:
- edge उपकरणों पर अनपेक्षित shell सत्र
- kernel मॉड्यूल लोड होने में असामान्य गतिविधि
- अचानक root अधिकार प्राप्त होना
- इन्फ्रास्ट्रक्चर सिस्टम से असामान्य आउटबाउंड कनेक्शन
- आंतरिक सहयोग प्लेटफॉर्म या पहचान सेवाओं पर संदिग्ध लॉग‑इन
महत्वपूर्ण तथ्य और सीमाएं
सुरक्षा रिपोर्ट यह दिखाती हैं कि इंटरनेट‑फेसिंग उपकरणों से शुरुआत करके Linux सिस्टम पर privilege escalation और फिर आंतरिक नेटवर्क में pivot करना एक वास्तविक और बढ़ती हुई रणनीति है।
हालांकि, अभी तक सार्वजनिक रूप से यह साबित नहीं हुआ है कि हर हमले में CVE‑2025‑53521, Copy Fail और Dirty Frag का यही संयोजन लगातार इस्तेमाल हो रहा है। अलग‑अलग हमलावर अलग तकनीकों का उपयोग कर सकते हैं।
बड़ी सुरक्षा सीख
पहले edge उपकरणों को अत्यधिक सुरक्षित माना जाता था। लेकिन आज वे एंटरप्राइज नेटवर्क में प्रवेश का प्रमुख दरवाजा बनते जा रहे हैं।
जब कोई इंटरनेट‑फेसिंग डिवाइस अंदर से Linux पर चलता है, तो उस पूरे इकोसिस्टम की कमजोरियां संभावित हमले की चेन का हिस्सा बन सकती हैं। यही कारण है कि तेज़ पैचिंग, सख्त एक्सेस नियंत्रण और मजबूत निगरानी आधुनिक साइबर सुरक्षा रणनीति का अहम हिस्सा बन चुके हैं।
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
लोग पूछते भी हैं
"F5 BIG‑IP से शुरू होकर Linux Root तक: आधुनिक एंटरप्राइज साइबर‑हमलों की नई चेन" का संक्षिप्त उत्तर क्या है?
हमलावर इंटरनेट‑फेसिंग F5 BIG‑IP APM उपकरणों में मौजूद RCE कमजोरी (CVE‑2025‑53521) का फायदा उठाकर नेटवर्क में शुरुआती पहुंच हासिल कर लेते हैं।
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
हमलावर इंटरनेट‑फेसिंग F5 BIG‑IP APM उपकरणों में मौजूद RCE कमजोरी (CVE‑2025‑53521) का फायदा उठाकर नेटवर्क में शुरुआती पहुंच हासिल कर लेते हैं। इसके बाद Linux kernel की स्थानीय privilege‑escalation कमजोरियां—Copy Fail (CVE‑2026‑31431) और Dirty Frag (CVE‑2026‑43284)—का उपयोग करके सीमित एक्सेस को root नियंत्रण में बदल दिया जाता है।
मुझे अभ्यास में आगे क्या करना चाहिए?
सुरक्षा के लिए संगठनों को तुरंत F5 और Linux पैच लागू करने, edge उपकरणों पर shell एक्सेस सीमित करने, जोखिम वाले kernel मॉड्यूल बंद करने और संदिग्ध गतिविधियों की निगरानी बढ़ाने की सलाह दी जाती है।
सूत्र
- ncsc.gov.ukVulnerability affecting F5 BIG-IP APM | National Cyber Security Centre
- hadrian.ioF5 BIG-IP APM Remote Code Execution: CVE-2025-53521 ...
- cert.europa.euHigh Vulnerability in the Linux Kernel ("Copy Fail") - CERT-EU
- sysdig.comCVE-2026-31431: “Copy Fail” Linux kernel flaw lets local users gain ...
- microsoft.comCVE-2026-31431: Copy Fail vulnerability enables Linux ... - Microsoft
- kb.wisc.eduMitigation Guide: Linux Kernel "Dirty Frag" (CVE-2026- ...
- sysdig.comDirty Frag (CVE-2026-43284 and CVE-2026-43500): Detecting ...
- microsoft.comHow Storm-2949 turned a compromised identity into a cloud-wide ...
- microsoft.comFrom edge appliance to enterprise compromise: Multi-stage Linux ...
- isc.sans.eduInternet Storm Center Diary 2026-05-05 - SANS ISC
- docs.acquia.comAcquia Status Regarding CVE-2026-31431 ("Copy Fail") and CVE ...
- teuto.netKnown Vulnerabilities | Kubernetes Documentation - teuto.net
- windriver.comCVE-2026-31431"Copy Fail" Linux Vulnerability | Windriver
- ubuntu.comFixes available for CVE-2026-31431 (Copy Fail) Linux ...
- bugcrowd.comWhat we know about Copy Fail (CVE-2026-31431) | @Bugcrowd
- moselwal.comDirty Frag (CVE-2026-43284) — Linux Kernel LPE
- support.huaweicloud.comNotice of Linux Kernel Privilege Escalation Vulnerabilities (CVE ...
- support.broadcom.comTanzu Security Advisory CVE-2026-341431 - Broadcom support portal
- f5.comWeekly Threat Bulletin – May 13th, 2026 | F5 Labs
- changelog.hypernode.comRelease 10820: CopyFail (CVE-2026-31431) Mitigations