F5 BIG‑IP 취약점과 리눅스 권한 상승 버그를 연결하는 공격 방식

인터넷에 직접 노출된 보안 장비가 대규모 기업 침해의 첫 번째 관문이 되는 사례가 늘고 있다. 최근 보안 분석에서는 공격자들이 F5 BIG‑IP Access Policy Manager(APM) 장비를 먼저 침해한 뒤, 리눅스 커널 권한 상승 취약점을 연쇄적으로 이용해 루트 권한을 획득하고 내부 인프라로 확장하는 공격 패턴이 관찰됐다.

이 방식의 핵심은 단순하다. 경계(Edge) 장비를 먼저 장악 → 시스템 권한 상승 → 내부 서비스로 이동이라는 다단계 침투 구조다.

1단계: 인터넷에 노출된 F5 BIG‑IP 장비 침해

많은 기업은 VPN, 인증 게이트웨이, 액세스 프록시 기능을 위해 F5 BIG‑IP APM 장비를 인터넷에 직접 노출한다. 이 구조는 편리하지만 공격자에게도 매력적인 표적이 된다.

특히 CVE‑2025‑53521 취약점은 인증 없이 원격 코드 실행(RCE)을 허용할 수 있는 심각한 취약점이다. APM 액세스 정책이 가상 서버에 설정된 상태에서 특정 악성 트래픽이 들어오면 공격자가 장비에서 임의 명령을 실행할 수 있다.

실제 공격에서도 이 취약점이 악용된 사례가 보고됐으며, 적극적인 공격이 확인돼 취약점 경고 목록에도 포함됐다.

장비에 코드 실행 권한을 얻은 공격자는 보통 다음과 같은 방법으로 지속성을 확보한다.

• 웹셸 설치
• 리버스 셸 세션 생성
• 백도어 계정 생성

이 단계가 완료되면 침해된 엣지 장비는 **내부 네트워크 공격을 위한 발판(staging point)**이 된다.

2단계: 리눅스 커널 취약점으로 루트 권한 획득

F5 장비에서 얻은 초기 접근 권한은 종종 제한된 계정이나 제한된 환경일 수 있다. 공격자는 이 제한을 우회하기 위해 리눅스 커널 로컬 권한 상승(Local Privilege Escalation, LPE) 취약점을 활용한다.

Copy Fail (CVE‑2026‑31431)

2026년 4월 공개된 Copy Fail 취약점은 리눅스 커널의 사용자 공간 암호화 인터페이스(AF_ALG)의 algif_aead 구성요소에 존재한다.

이 취약점은 특정 작업을 통해 페이지 캐시(page cache) 메모리를 손상시키고 루트 권한을 획득할 수 있게 한다.

중요한 점은 Copy Fail이 단독으로는 원격 공격이 불가능하다는 것이다. 공격자는 먼저 시스템 내부에서 셸 접근이나 코드 실행 권한을 확보해야 한다.

Dirty Frag (CVE‑2026‑43284)

Dirty Frag는 리눅스 네트워크 스택의 일부 구성요소에서 발견된 취약점 묶음을 의미한다. 특히 IPsec ESP 모듈인 esp4, esp6 등에 영향을 준다.

이 취약점은 커널 네트워크 경로를 통해 페이지 캐시 메모리를 조작하여 로컬 사용자 권한에서 루트 권한으로 상승할 수 있게 한다.

Copy Fail과 마찬가지로 Dirty Frag 역시 사후 공격(Post‑exploitation) 단계에서 사용되는 취약점이다. 즉, 공격자는 이미 시스템 내부에 접근해야 한다.

3단계: 내부 시스템으로 이동(피벗)

공격자가 엣지 장비에서 루트 권한을 확보하면 상황은 훨씬 심각해진다. 장비에는 종종 다음과 같은 민감 정보가 저장돼 있기 때문이다.

• 인증 토큰
• 관리자 계정 정보
• 인증서
• 네트워크 구성 비밀값

보안 연구에서는 침해된 F5 장비에서 내부 협업 시스템인 Confluence 서버로 이동해 자격 증명을 탈취한 사례도 보고됐다.

엣지 장비는 내부 네트워크에서 높은 신뢰를 갖기 때문에 공격자는 다음과 같은 활동을 수행할 수 있다.

• 내부 관리 네트워크 접근
• 인증 쿠키 및 인증서 탈취
• ID 관리 서비스 조회
• 애플리케이션 서버로 측면 이동

마이크로소프트 연구진은 이런 공격 패턴이 점점 증가하고 있다고 설명한다. 인터넷에 노출되어 있지만 기업 내부에서는 신뢰받는 장비라는 점이 공격자에게 유리하게 작용한다.

왜 이런 공격 체인이 효과적인가

각 취약점만 보면 제한적인 것처럼 보이지만, 연결되면 매우 강력한 공격 경로가 된다.

• 엣지 장비 RCE → 초기 접근 확보
• 리눅스 권한 상승 취약점 → 루트 권한 확보
• 내부 네트워크 신뢰 관계 → 측면 이동

즉, 경계 장비의 작은 취약점이 전체 기업 침해로 확대될 수 있는 구조다.

조직이 취해야 할 방어 조치

이 공격 체인을 막으려면 초기 침입과 이후 권한 상승 단계를 모두 차단해야 한다.

1. F5 BIG‑IP 시스템 즉시 패치

인터넷에 노출된 BIG‑IP APM 장비는 CVE‑2025‑53521 패치를 최우선으로 적용해야 한다.

이미 실제 공격이 확인된 취약점이기 때문에 보안 기관들도 긴급 업데이트를 권고하고 있다.

2. 리눅스 커널 업데이트

다음 취약점 패치가 포함된 커널 업데이트를 적용해야 한다.

• CVE‑2026‑31431 (Copy Fail)
• CVE‑2026‑43284 및 Dirty Frag 관련 취약점

이 취약점들은 2017년 이후 커널을 사용하는 대부분의 리눅스 배포판에 영향을 줄 수 있다.

3. 엣지 장비 셸 접근 제한

Copy Fail과 Dirty Frag는 로컬 실행이 필요하므로, 엣지 장비의 셸 접근을 제한하거나 비활성화하면 공격 가능성을 크게 줄일 수 있다.

4. 취약 커널 모듈 비활성화

패치를 바로 적용하기 어려운 경우 다음 모듈을 일시적으로 비활성화할 수 있다.

• esp4
• esp6

단, IPsec 기능에 영향을 줄 수 있으므로 운영 환경에서 영향 평가가 필요하다.

5. 컨테이너 및 공유 커널 환경 강화

커널 권한 상승 취약점은 컨테이너 탈출 공격에도 활용될 수 있다.

권장 조치는 다음과 같다.

• privileged 컨테이너 사용 최소화
• 불필요한 커널 모듈 차단
• 신뢰되지 않은 워크로드 격리

6. 사후 공격 징후 모니터링

다음과 같은 활동은 침해 신호일 수 있다.

• 엣지 장비에서 예상치 못한 셸 세션 생성
• 커널 모듈 로딩 이상
• 갑작스러운 루트 권한 상승
• 인프라 시스템의 외부 연결 증가
• 내부 협업 시스템 또는 ID 서비스에 대한 비정상 인증 시도

중요한 점

보안 보고서는 인터넷 노출 장비 침해 → 리눅스 권한 상승 → 내부 시스템 이동이라는 공격 패턴이 실제로 존재한다는 점을 확인하고 있다.

다만 특정 공격 그룹이 CVE‑2025‑53521, Copy Fail, Dirty Frag를 항상 동일한 체인으로 사용하는지에 대한 공개 증거는 제한적이다. 환경에 따라 공격 방식은 달라질 수 있다.

보안 관점에서의 핵심 교훈

과거에는 방화벽이나 VPN 장비 같은 엣지 장비를 비교적 안전한 장치로 여겼다.

하지만 오늘날에는 이러한 장비도 리눅스 기반 시스템이며, 외부에 노출되고 내부에서 높은 신뢰를 받는다는 점 때문에 공격자에게 매우 가치 있는 초기 침입 지점이 되고 있다.

따라서 기업 보안 전략에서 엣지 인프라의 빠른 패치, 접근 통제, 모니터링 강화는 더 이상 선택이 아니라 필수에 가깝다.