Как злоумышленники связывают уязвимости F5 BIG‑IP с повышением привилегий в Linux

Чтобы получить полный контроль, используются уязвимости локального повышения привилегий (LPE) в ядре Linux.

Copy Fail (CVE‑2026‑31431)

Уязвимость Copy Fail, раскрытая в апреле 2026 года, затрагивает ядро Linux, собранное начиная с 2017 года. Ошибка находится в компоненте algif_aead, который относится к пользовательскому криптографическому интерфейсу ядра (AF_ALG).

При определённых операциях непривилегированный процесс может повредить память page cache, что позволяет получить права root.

Важно: эта уязвимость не может быть использована удалённо сама по себе — злоумышленнику уже нужен локальный доступ к системе.

Dirty Frag (CVE‑2026‑43284)

Группа уязвимостей, известная как Dirty Frag, затрагивает сетевые компоненты ядра Linux, включая модули IPsec ESP (esp4 и esp6).

Эти ошибки позволяют локальному пользователю манипулировать памятью page cache через сетевые пути ядра и также повышать привилегии до root.

Как и Copy Fail, Dirty Frag используется после первоначального взлома, когда атакующий уже может запускать код на системе.

Шаг 3. Перемещение внутрь корпоративной сети

Получив root‑доступ на пограничном устройстве, злоумышленники могут извлекать конфиденциальные данные, включая:

• учетные данные пользователей
• токены аутентификации
• сертификаты
• конфигурационные секреты

Исследователи отмечали случаи, когда атакующие переходили с компрометированного устройства F5 во внутренние системы, включая серверы Confluence, используемые для совместной работы и документации.

Такие устройства часто обладают высоким уровнем доверия внутри инфраструктуры. Поэтому компрометация может позволить злоумышленникам:

• получать доступ к внутренним сегментам управления
• перехватывать куки или сертификаты
• обращаться к системам управления идентификацией
• перемещаться между внутренними сервисами

По данным исследователей Microsoft, атаки на интернет‑доступные устройства безопасности становятся всё более распространённым способом первоначального проникновения в корпоративные сети.

Почему такая цепочка атак работает

Эта многоэтапная схема эффективна, потому что объединяет несколько уязвимостей, каждая из которых по отдельности кажется ограниченной:

• RCE на пограничном устройстве даёт начальную точку доступа
• уязвимости повышения привилегий в Linux превращают этот доступ в полный контроль
• доверие к инфраструктуре на границе сети позволяет двигаться дальше во внутренние сервисы

В итоге даже небольшой первоначальный доступ может быстро перерасти в масштабную компрометацию инфраструктуры.

Что организациям нужно сделать

Для защиты необходимо закрывать как начальный вектор атаки, так и механизмы эскалации после взлома.

1. Срочно обновить F5 BIG‑IP

Необходимо установить обновления для CVE‑2025‑53521, особенно на устройствах, доступных из интернета.

Из‑за подтверждённой эксплуатации уязвимости многие агентства кибербезопасности рекомендуют рассматривать обновление как приоритетное.

2. Обновить ядра Linux

Следует применить патчи для уязвимостей:

• CVE‑2026‑31431 (Copy Fail)
• CVE‑2026‑43284 и связанных проблем Dirty Frag

Они затрагивают многие популярные дистрибутивы Linux и версии ядра, выпущенные после 2017 года.

3. Ограничить доступ к shell на пограничных устройствах

Поскольку Copy Fail и Dirty Frag требуют локального исполнения кода, отключение или строгий контроль shell‑доступа значительно усложняет их эксплуатацию.

4. При необходимости временно отключить уязвимые модули

Если обновление откладывается, можно временно отключить некоторые модули ядра, связанные с Dirty Frag — например esp4 и esp6 — предварительно убедившись, что это не нарушит работу IPsec.

5. Усилить безопасность контейнерных сред

LPE‑уязвимости ядра могут приводить к выходу из контейнеров. Организациям рекомендуется:

• избегать привилегированных контейнеров
• ограничивать доступ к модулям ядра
• изолировать недоверенные рабочие нагрузки

6. Следить за признаками пост‑эксплуатации

Системы мониторинга должны отслеживать:

• неожиданные shell‑сессии на пограничных устройствах
• загрузку подозрительных модулей ядра
• резкое повышение привилегий до root
• исходящие соединения с инфраструктурных систем
• попытки доступа к внутренним сервисам (например Confluence)

Важное уточнение

Существует подтверждение общей схемы атак, при которой злоумышленники взламывают пограничные устройства, повышают привилегии на Linux‑системах и затем перемещаются внутрь сети.

Однако открытых доказательств того, что одна конкретная кампания регулярно использует именно комбинацию CVE‑2025‑53521, Copy Fail и Dirty Frag, пока немного. Эти уязвимости технически могут объединяться в одну цепочку, но конкретные инструменты атакующих могут различаться в зависимости от инфраструктуры жертвы.

Главный вывод

Ранее сетевые устройства безопасности считались относительно изолированными и защищёнными. Сегодня они всё чаще становятся первой точкой проникновения.

Если интернет‑доступное устройство работает на Linux, любая уязвимость повышения привилегий в экосистеме Linux может превратиться в часть более крупной цепочки атаки. Поэтому своевременные обновления, строгий контроль доступа и мониторинг пограничной инфраструктуры становятся критически важными для защиты корпоративных сетей.