Como invasores encadeiam falhas no F5 BIG‑IP com bugs de privilégio no Linux para comprometer empresas

O acesso inicial ao appliance nem sempre concede controle total do sistema. Muitas vezes o atacante começa com privilégios limitados.

Para superar essas restrições, é possível explorar vulnerabilidades locais de escalonamento de privilégio (LPE) no kernel Linux.

Copy Fail (CVE‑2026‑31431)

A falha Copy Fail foi divulgada em abril de 2026 e afeta kernels Linux lançados desde 2017. O problema está no componente algif_aead, parte da interface de criptografia do kernel acessível pelo espaço de usuário (AF_ALG).

A vulnerabilidade permite que um processo sem privilégios corrompa memória do page cache por meio de operações específicas, o que pode ser explorado para obter privilégios de root.

Um detalhe importante: Copy Fail não pode ser explorada remotamente sozinha. O atacante precisa já ter algum tipo de acesso local ao sistema, como um shell obtido por outra vulnerabilidade.

Dirty Frag (CVE‑2026‑43284)

O termo Dirty Frag descreve um conjunto de falhas no kernel Linux que afetam componentes de rede, incluindo os módulos IPsec ESP (esp4 e esp6).

Essas vulnerabilidades permitem que um usuário local manipule o page cache por meio de caminhos de rede no kernel e escale privilégios até root em muitos sistemas Linux.

Assim como Copy Fail, Dirty Frag também é uma vulnerabilidade pós‑exploração: o invasor precisa já ter execução de código no host antes de utilizá‑la.

Etapa 3: movimento lateral para dentro da rede

Com acesso root ao appliance comprometido, os invasores podem extrair credenciais, tokens de autenticação ou segredos de configuração armazenados no dispositivo.

Pesquisadores de segurança observaram incidentes em que atacantes partiram de um appliance F5 comprometido e avançaram para sistemas internos, incluindo servidores Confluence usados para colaboração e documentação.

Infraestruturas de borda geralmente possuem relações de confiança amplas dentro da rede corporativa. Quando comprometidas, elas podem permitir que invasores:

• acessem redes internas de administração
• capturem cookies ou certificados de autenticação
• consultem serviços de identidade
• movimentem‑se lateralmente para servidores de aplicação

Pesquisadores da Microsoft apontam que esse tipo de ataque está se tornando mais comum, pois appliances expostos à internet são altamente confiáveis dentro do ambiente corporativo, mas muitas vezes recebem menos monitoramento que outros sistemas.

Por que essa cadeia de ataque funciona

Essa cadeia de exploração funciona porque combina vulnerabilidades que, isoladamente, parecem limitadas:

• Falhas de RCE em appliances de borda fornecem o acesso inicial.
• Bugs de escalonamento no kernel Linux transformam esse acesso limitado em controle total.
• A posição confiável na rede permite avançar para sistemas internos.

Cada etapa amplifica a anterior. Um acesso inicial de baixo privilégio em um dispositivo de fronteira pode evoluir rapidamente para um comprometimento amplo da rede corporativa.

Prioridades de defesa para organizações

Proteger‑se contra essa cadeia de ataques exige abordar tanto o vetor inicial quanto os caminhos de escalonamento posteriores.

1. Atualizar imediatamente sistemas F5 BIG‑IP

Organizações devem aplicar as correções para CVE‑2025‑53521 em implementações BIG‑IP APM, priorizando instâncias expostas à internet.

Agências de segurança recomendam tratar essas atualizações como urgentes devido à exploração ativa da falha.

2. Atualizar kernels Linux

Aplicar patches que corrigem:

• CVE‑2026‑31431 (Copy Fail)
• CVE‑2026‑43284 e falhas relacionadas ao Dirty Frag

Essas vulnerabilidades afetam diversas distribuições Linux amplamente utilizadas desde 2017.

3. Restringir acesso shell em appliances

Como Copy Fail e Dirty Frag exigem execução local, limitar ou desativar acesso shell em appliances reduz bastante as oportunidades de exploração.

Acesso administrativo deve ser estritamente controlado e monitorado.

4. Desativar módulos vulneráveis se o patch atrasar

Se não for possível aplicar patches imediatamente, defensores podem bloquear temporariamente módulos do kernel associados ao Dirty Frag — como esp4 e esp6 — após avaliar impactos operacionais.

5. Fortalecer ambientes de contêiner

Falhas de escalonamento no kernel também podem permitir fuga de contêiner (container escape). Boas práticas incluem:

• evitar contêineres privilegiados
• reduzir exposição de módulos do kernel
• limitar workloads não confiáveis

Isso diminui o impacto caso um processo ou contêiner seja comprometido.

6. Monitorar sinais de pós‑exploração

Detecção deve focar em comportamentos típicos de escalonamento de privilégio ou movimento lateral, como:

• sessões shell inesperadas em appliances de borda
• carregamento incomum de módulos do kernel
• mudanças repentinas para privilégios de root
• conexões externas inesperadas originadas da infraestrutura
• tentativas de autenticação contra plataformas internas como Confluence ou serviços de identidade

Evidências e limitações

Relatórios de segurança confirmam o padrão geral de ataques que exploram appliances de borda expostos, escalam privilégios em hosts Linux e depois avançam para serviços internos.

No entanto, ainda há evidência pública limitada de uma campanha única que combine consistentemente CVE‑2025‑53521, Copy Fail e Dirty Frag exatamente na mesma cadeia de ataque em múltiplas vítimas. As vulnerabilidades são tecnicamente compatíveis e podem ser encadeadas, mas os métodos variam conforme o ambiente.

A principal lição de segurança

Appliances de borda historicamente eram vistos como dispositivos de segurança reforçados. Na prática, estão se tornando pontos de acesso inicial de alto valor para invasores.

Quando um dispositivo exposto à internet roda Linux internamente, qualquer falha de escalonamento de privilégio nesse ecossistema pode virar parte de uma cadeia maior de invasão. Por isso, patch rápido, controle rígido de acesso e monitoramento constante da infraestrutura de borda são essenciais para a defesa moderna.