黑客串連 F5 BIG‑IP 同 Linux 權限提升漏洞　由邊界設備滲透企業內網

企業網絡入侵手法近年出現一個明顯趨勢：先攻破對外的安全設備，再利用 Linux 系統漏洞升權，最後橫向移動到內部核心系統。安全研究顯示，攻擊者會先入侵公開在互聯網上的 F5 BIG‑IP Access Policy Manager (APM)，之後再利用 Linux kernel 的本地權限提升漏洞，例如 Copy Fail 或 Dirty Frag，取得 root 權限並深入企業網絡。

呢種多階段攻擊模式其實非常有效：邊界設備通常直接面向互聯網，但同時又被企業內部系統高度信任，一旦被攻破，後果往往比普通伺服器更嚴重。

第一步：利用 F5 BIG‑IP 漏洞取得入口

好多企業會將 F5 BIG‑IP APM 直接暴露喺互聯網，用作 VPN、身份驗證或者存取代理。呢類設備自然成為黑客嘅熱門目標。

其中一個高危漏洞 CVE‑2025‑53521，如果虛擬伺服器設定咗 APM access policy，攻擊者就可以透過特製網絡流量達到未經身份驗證的遠端程式碼執行（RCE）。

成功利用之後，攻擊者可以：

• 在設備上執行任意指令
• 安裝 web shell
• 建立持久化 shell 存取

一旦成功控制呢部邊界設備，就等於喺企業網絡入口位置建立咗一個跳板。

第二步：利用 Linux Kernel 漏洞升級到 Root

即使攻擊者可以喺設備上執行程式，最初通常只係受限制或低權限帳號。為咗完全控制系統，他們會利用 Linux kernel 本地權限提升漏洞。

Copy Fail（CVE‑2026‑31431）

「Copy Fail」係 2026 年 4 月公開嘅 Linux kernel 漏洞，影響自 2017 年起構建的大量 kernel 版本。漏洞位於 kernel 用戶空間加密介面 AF_ALG 嘅 algif_aead 模組。

透過特定操作，未授權進程可以破壞 page‑cache 記憶體，從而取得 root 權限。

不過要注意：

• Copy Fail 唔可以單獨遠端利用
• 攻擊者必須先取得本地系統存取，例如透過其他漏洞入侵

換句話講，呢類漏洞通常係 入侵之後嘅升權工具。

Dirty Frag（CVE‑2026‑43284）

「Dirty Frag」係另一組 Linux kernel 漏洞，影響網絡相關模組，例如 IPsec ESP (esp4、esp6)。

漏洞利用 kernel 網絡路徑操作 page cache，令本地用戶可以升級到 root 權限。

同 Copy Fail 一樣：

• 需要本地程式執行
• 屬於典型 post‑exploitation（入侵後利用） 漏洞。

第三步：由邊界設備橫向移動到內部系統

當攻擊者取得 root 權限之後，就可以從設備中提取大量敏感資料，例如：

• 憑證
• 認證 token
• session cookie
• 系統配置密鑰

研究人員觀察到，有攻擊案例由 被入侵的 F5 設備橫向移動到企業內部系統，例如用於協作與文件管理的 Atlassian Confluence 伺服器，從而竊取憑證與身份資訊。

邊界設備之所以危險，原因包括：

• 通常能連接內部管理網絡
• 儲存身份驗證資料
• 被內部系統高度信任

因此一旦被攻破，就可以：

• 掃描內部網絡
• 存取身份服務
• 竊取證書或 cookies
• 橫向移動到應用伺服器

微軟研究指出，攻擊者愈來愈多會直接攻擊 VPN、網關、防火牆等邊界設備作為入侵起點。

為何這種漏洞鏈特別有效

這種多階段攻擊之所以成功，原因在於不同漏洞互相放大影響：

• 邊界設備 RCE → 提供初始入侵
• Linux 升權漏洞 → 取得 root 控制
• 內部信任關係 → 允許橫向移動

即使最初只取得低權限存取，只要成功升權，就可能迅速演變成整個企業網絡的重大入侵。

企業應優先採取的防禦措施

1. 立即修補 F5 BIG‑IP

所有使用 BIG‑IP APM 的組織應更新到已修補 CVE‑2025‑53521 的版本，尤其係直接對外開放的設備。

多個安全機構已經確認漏洞正在被利用。

2. 更新 Linux Kernel

確保 Linux 系統已修補：

• CVE‑2026‑31431（Copy Fail）
• CVE‑2026‑43284 等 Dirty Frag 漏洞

這些漏洞影響大量 Linux 發行版以及自 2017 年以來的 kernel。

3. 限制邊界設備 Shell 存取

由於 Copy Fail 同 Dirty Frag 需要本地程式執行，如果限制 shell 存取，可以大幅降低被利用風險。

4. 在未能即時修補時停用相關 Kernel Module

如果暫時無法更新系統，可以考慮停用 Dirty Frag 相關模組，例如：

• esp4
• esp6

但部署前需要確認不會影響 IPsec 或其他功能。

5. 強化容器與共享 Kernel 環境

Linux 升權漏洞亦可能導致 container escape。建議：

• 避免 privileged containers
• 減少可用 kernel modules
• 隔離不可信 workload

6. 監控入侵後活動

企業監控應特別留意以下跡象：

• 邊界設備出現異常 shell
• kernel module 載入異常
• 權限突然升至 root
• 基礎設施主機出現不正常外連
• 來自邊界設備的內部系統登入

一個重要現實

目前公開資料顯示：

• 攻擊者確實會入侵邊界設備並橫向移動到內部系統
• Linux 升權漏洞常被用作入侵後工具

但公開證據顯示，同一攻擊行動必定同時串連 CVE‑2025‑53521、Copy Fail 同 Dirty Frag 的案例仍然有限。實際攻擊流程往往會因環境而有所不同。

更大的安全教訓

過去企業常將 VPN 或安全網關視為「已加固的設備」。但實際上，這些裝置本質上仍然是運行 Linux 的系統。

只要邊界設備同時具備 對外暴露 + 內部高度信任 的特性，一旦漏洞被利用，就可能成為整個企業網絡的入侵入口。因此，快速修補、嚴格存取控制，以及對邊界設備的持續監控，已經成為現代企業防禦的重要基礎。