Så kedjar hackare F5 BIG-IP-sårbarheter med Linux-privilegierna ”Copy Fail” och ”Dirty Frag” för att bryta sig in i företagsnätverk

Sårbarheten har observerats i verkliga attacker och har lagts till på myndigheters bevakningslistor på grund av aktiv exploatering.

När angripare väl har fått kontroll över enheten distribuerar de ofta webbskal eller etablerar en beständig skal-session. Den komprometterade enheten blir därefter en bas för vidare eskalering och lateralförflyttning.

Steg 2: Eskalera till root med Linux-kärnsårbarheter

Den första åtkomsten på apparaten ger inte nödvändigtvis full systemkontroll. Angripare hamnar ofta i en begränsad miljö eller på ett konto med låga rättigheter.

För att kringgå dessa begränsningar kan hotaktörer utnyttja Linux-kärnans lokala privilegieeskaleringsfel (LPE) som:

Copy Fail (CVE-2026-31431)

”Copy Fail” är en Linux-kärnsårbarhet som offentliggjordes i april 2026 och påverkar kärnor som byggts sedan 2017. Felet finns i algif_aead-komponenten i kärnans användarrums-kryptogränssnitt (AF_ALG).

Sårbarheten gör det möjligt för en oprivilegierad process att korrumpera sidcachens minne genom specifika operationer, vilket sedan kan användas för att få root-rättigheter.

Viktigt att notera är att sårbarheten inte kan utnyttjas på distans. Den kräver lokal åtkomst till systemet – exempelvis via ett skal som erhållits genom en annan sårbarhet eller kompromettering.

Dirty Frag (CVE-2026-43284)

”Dirty Frag” avser en uppsättning Linux-kärnfel som påverkar nätverkskomponenter som IPsec ESP-modulerna (esp4 och esp6).

Sårbarheterna tillåter en lokal användare att manipulera sidcachens minne via kärnans nätverksvägar och eskalera sina rättigheter till root på många Linux-system.

Precis som Copy Fail är Dirty Frag en ren post-exploateringssårbarhet: angriparen måste redan ha kodexekvering på värden för att kunna använda den.

Steg 3: Från gränsenheten in i företagsnätverket

Efter att ha fått root-åtkomst på apparaten kan angripare samla in inloggningsuppgifter, extrahera autentiseringstoken eller komma åt lagrade konfigurationshemligheter.

Säkerhetsforskare har observerat incidenter där angripare har förflyttat sig från en komprometterad F5-kantapparat till interna system, inklusive Confluence-servrar som används för samarbete och dokumentation.

Kantinfrastrukturen har ofta omfattande förtroenderelationer i nätverket. När dessa system väl är komprometterade kan angripare:

• Få åtkomst till interna hanteringsnätverk
• Stjäla autentiseringscookies eller certifikat
• Fråga identitetstjänster
• Förflytta sig lateralt till applikationsservrar

Microsofts forskare beskriver denna typ av kompromettering som en växande trend: angripare riktar in sig på internetanslutna säkerhetsapparater eftersom de är exponerade utåt men samtidigt djupt betrodda i interna miljöer.

Varför denna attackkedja är effektiv

Denna flerstegsattack fungerar eftersom den kombinerar sårbarheter som var för sig kan verka begränsade:

• Sårbarheter för fjärrexekvering på gränsenheten ger första åtkomsten.
• Linux-privilegieeskaleringsfel omvandlar den åtkomsten till full systemkontroll.
• Den förtroendefulla nätverkspositionen gör att angripare kan förflytta sig vidare till interna tjänster.

Varje steg förstärker det föregående. Ett fotfäste med låga rättigheter på en gränsenhet kan snabbt bli ett omfattande intrång om eskalering och lateralförflyttning lyckas.

Försvarsåtgärder för organisationer

För att skydda sig mot denna attackkedja måste organisationer adressera både den första åtkomstvägen och vägarna för eskalering efter ett intrång.

1. Uppdatera F5 BIG-IP-system omedelbart

Organisationer bör uppdatera sårbara BIG-IP APM-installationer med patchar för CVE-2025-53521, med prioritet för de enheter som är exponerade mot internet.

Säkerhetsmyndigheter rekommenderar att dessa uppdateringar behandlas som brådskande på grund av bekräftad exploatering.

2. Patcha Linux-kärnor i hela infrastrukturen

Applicera säkerhetsuppdateringar som adresserar:

• CVE-2026-31431 (Copy Fail)
• CVE-2026-43284 och relaterade Dirty Frag-sårbarheter

Dessa sårbarheter påverkar många vanliga Linux-distributioner och kärnor som släppts sedan 2017.

3. Begränsa skalåtkomst på kantapparater

Eftersom Copy Fail och Dirty Frag kräver lokal exekvering minskar begränsad eller avstängd skalåtkomst på apparaterna avsevärt möjligheterna till exploatering.

Administrativ åtkomst bör vara hårt begränsad och övervakas.

4. Inaktivera sårbara kärnmoduler om patchning fördröjs

Om patchning inte kan ske omedelbart kan försvarare tillfälligt blockera vissa kärnmoduler som är kopplade till Dirty Frag – såsom esp4 och esp6 – efter att ha validerat den operativa effekten.

5. Skärp säkerheten för containrar och delade kärnmiljöer

LPE-sårbarheter i kärnan kan möjliggöra containerflykt. Organisationer bör:

• Undvika privilegierade containrar
• Minimera exponeringen av kärnmoduler
• Begränsa opålitliga arbetsbelastningar

Dessa åtgärder minskar skadeverkningarna om en container eller värdprocess komprometteras.

6. Övervaka efter beteenden som tyder på intrång

Detektion bör fokusera på signaler som indikerar privilegieeskalering eller lateralförflyttning, inklusive:

• Oväntade skal-sessioner på kantapparater
• Avvikelser i inläsning av kärnmoduler
• Plötsliga rättighetsförändringar till root
• Utgående anslutningar från infrastruktursystem
• Autentiseringsförsök mot interna samarbetsplattformar eller identitetstjänster

Bevis och begränsningar

Säkerhetsrapporter stöder det övergripande attackmönstret där exponerade kantapparater utnyttjas, rättigheter eskaleras på Linux-värdar och angripare förflyttar sig till interna tjänster.

Men offentliga bevis för att en och samma kampanj konsekvent kedjar den exakta kombinationen av CVE-2025-53521, Copy Fail och Dirty Frag hos flera offer är fortfarande begränsade. Sårbarheterna är teoretiskt kompatibla och tekniskt möjliga att kedja, men angripares manualer kan variera mellan olika miljöer.

Den viktigaste säkerhetsläxan

Kantapparater har historiskt sett betraktats som hårdade säkerhetsenheter. I praktiken blir de allt oftare värdefulla första åtkomstpunkter.

När en externt exponerad apparat kör Linux internt kan varje privilegieeskaleringsfel i det ekosystemet bli en del av en bredare intrångskedja. Den verkligheten gör snabb patchning, strikta åtkomstkontroller och kraftfull övervakning av kantinfrastrukturen avgörande för modernt företagsförsvar.