F5 BIG‑IPの侵害からLinux権限昇格へ：企業ネットワーク侵入の多段攻撃チェーン

この挙動を利用すると、権限のないプロセスでもroot権限を取得できる可能性がある。

重要な点として、この脆弱性は単体ではリモート攻撃できない。攻撃者はSSHや別の脆弱性などですでにシステム内部にアクセスしている必要がある。

Dirty Frag（CVE‑2026‑43284 ほか）

「Dirty Frag」はLinuxのネットワーク関連コンポーネントに存在する複数の脆弱性の総称だ。

特に問題となるのはIPsecのESPモジュール（esp4、esp6）などで、これらのカーネル経路を悪用するとページキャッシュを操作してroot権限へ昇格できる。

Copy Failと同様、Dirty Fragも侵入後に利用されるポストエクスプロイト脆弱性であり、ローカル実行環境が前提となる。

ステップ3：エッジ機器から社内システムへ横展開

攻撃者がエッジ機器でroot権限を取得すると、ネットワーク内部への侵入が一気に容易になる。

境界機器は多くの場合、社内のさまざまなサービスと信頼関係を持っているからだ。

侵害された機器から攻撃者は次のような行動を取ることができる。

・認証情報や証明書の取得
・セッショントークンの窃取
・ID管理システムへのアクセス
・内部ネットワークの探索

実際に、侵害されたF5エッジ機器から社内のConfluenceサーバーへ移動し、認証情報を窃取する攻撃が観測されている。

Microsoftの研究者も、こうしたエッジ機器を起点とする侵入が増加していると指摘している。

なぜこの攻撃チェーンは効果的なのか

この多段攻撃が成功しやすい理由は、個々の脆弱性が組み合わさることで影響が大きくなるためだ。

・エッジ機器のRCE → 初期侵入
・Linux権限昇格 → 完全なシステム支配
・ネットワーク信頼関係 → 社内横展開

つまり、境界装置の小さな侵入口が、最終的には企業全体の侵害へ発展する可能性がある。

組織が取るべき防御対策

1. F5 BIG‑IPの緊急パッチ適用

インターネット公開のBIG‑IP APMは、CVE‑2025‑53521の修正バージョンへ直ちに更新する必要がある。

政府系セキュリティ機関も、この脆弱性は実際に悪用されているとして優先対応を推奨している。

2. Linuxカーネルの更新

次の脆弱性を修正するカーネルアップデートを適用する。

・CVE‑2026‑31431（Copy Fail）
・CVE‑2026‑43284 など Dirty Frag関連脆弱性

これらは2017年以降の多くのLinuxディストリビューションに影響する。

3. エッジ機器のシェルアクセス制限

Copy FailやDirty Fragはローカル実行が前提のため、シェルアクセスを厳しく制限すると悪用リスクを下げられる。

管理アクセスは最小限にし、ログ監視を行うべきだ。

4. カーネルモジュールの一時的無効化

パッチ適用まで時間がかかる場合、Dirty Fragに関連する

・esp4
・esp6

などのカーネルモジュールを無効化する対策もある（運用影響の確認が必要）。

5. コンテナ環境のハードニング

カーネル権限昇格は**コンテナ脱出（container escape）**にもつながる可能性がある。

対策としては次のような基本原則が重要だ。

・特権コンテナを避ける
・不要なカーネル機能を無効化
・信頼できないワークロードを隔離

6. 侵害後の挙動を監視する

検知のポイントは、侵入そのものより権限昇格や横展開の兆候だ。

監視すべき例：

・エッジ機器上の不審なシェル
・異常なカーネルモジュール読み込み
・root権限への突然の昇格
・インフラ機器からの外向き通信
・Confluenceなど社内サービスへの不審な認証試行

現時点の証拠と注意点

エッジ機器侵害 → Linux権限昇格 → 社内システム侵入という攻撃パターン自体は複数の調査で確認されている。

ただし、CVE‑2025‑53521・Copy Fail・Dirty Fragの3つを常に同じキャンペーンで連鎖させているという決定的証拠はまだ限定的であり、攻撃手法は環境ごとに異なる可能性がある。

最大の教訓：エッジ機器は“安全装置”ではない

ファイアウォールやVPNゲートウェイのようなエッジ機器は、かつて「堅牢な防御装置」と考えられていた。

しかし現在では、最も価値の高い侵入口のひとつになりつつある。

外部公開され、内部ネットワークから信頼され、しかもLinuxベースで動作する――この条件がそろえば、単一の脆弱性でも大規模侵害の起点になり得る。

だからこそ、エッジインフラに対する

・迅速なパッチ適用
・厳格なアクセス制御
・高度な監視

が、現代の企業セキュリティでは不可欠になっている。