SECURITY ADVISORY

Unauthentifizierte Remote-Code-Execution in F5 BIG-IP APM

Ein nicht authentifizierter Angreifer aus dem Internet kann durch speziell präparierten Datenverkehr an ein BIG-IP-APM-Virtual-Server beliebigen Code ausführen – die vollständige Übernahme des Geräts. Voraussetzung ist eine an einem Virtual Server aktivierte Access Policy. F5 hat die zunächst als DoS eingestufte Lücke im März 2026 zur kritischen RCE hochgestuft; sie wird aktiv zum Ablegen von Web-Shells ausgenutzt.

CVE-ID

CVE-2025-53521

CVSS

9,3

Schweregrad

Kritisch

Hersteller

F5

Produkt

BIG-IP Access Policy Manager (APM)

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Der APM-Bestandteil verarbeitet präparierten Datenverkehr fehlerhaft, sobald eine Access Policy an einem Virtual Server hängt. Ein stack-basierter Pufferüberlauf (CWE-121) erlaubt einem nicht authentifizierten Angreifer aus der Ferne die Ausführung beliebigen Codes. Betroffen ist ausschließlich die Datenebene (Data Plane) – ohne dass eine Anmeldung an der Verwaltungsoberfläche nötig wäre.

Angriffskette

  1. APM exponiert – ein Virtual Server mit Access Policy ist aus dem Internet erreichbar
  2. Crafted Traffic – speziell präparierte Anfragen an den APM-Dienst
  3. Buffer Overflow – stack-basierter Überlauf führt zur Code-Ausführung
  4. Web-Shell – unauth. RCE, teils rein im Speicher, SELinux wird deaktiviert

Betroffene Versionen und Fixes

BIG-IP-ZweigVerwundbarFixversion
15.1< 15.1.10.815.1.10.8
16.1< 16.1.6.116.1.6.1
17.1< 17.1.317.1.3
17.5< 17.5.1.317.5.1.3

Angreifbar nur, wenn eine APM-Access-Policy an einem Virtual Server aktiv ist. Ältere, teils abgekündigte Zweige (< 15.1) sowie die exakten Build-Ranges gegen das Hersteller-Advisory K000156741 des eigenen Zweigs abgleichen – dort verbindlich.

Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff oder eine RCE kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • 15.10.2025 – F5 veröffentlicht die Lücke (Quarterly Security Notification) – zunächst als DoS
  • 27.03.2026 – CISA nimmt CVE-2025-53521 in den KEV-Katalog auf (Frist Bundesbehörden: 30.03.2026)
  • 28.03.2026 – F5 stuft neu ein: DoS → RCE · CVSS 9,8 (3.1) / 9,3 (4.0)
  • Seither – Aktive Ausnutzung – Web-Shells, teils rein im Speicher; SELinux deaktiviert

Maßnahmenplan

In dieser Reihenfolge – Exposition prüfen, patchen, dann Kompromittierung ausschließen.

  • Sofort: Exposition prüfen & einschränken
  • Kurzfristig: Patch einspielen
  • Parallel: Threat Hunting / IoC-Abgleich
  1. Betroffenheit feststellen
    Prüfen, ob eine APM-Access-Policy an einem Virtual Server hängt und ob dieser aus dem Internet erreichbar ist. BIG-IP-Version gegen die Fix-Tabelle des eigenen Zweigs abgleichen. Nur diese Kombination ist angreifbar.
  2. Exposition reduzieren (Zwischenmaßnahme)
    F5 nennt keinen offiziellen Workaround – nur der Patch schließt die Lücke. Bis zum Einspielen den Zugriff auf betroffene APM-Virtual-Server so weit wie möglich einschränken (Quell-IP-Filter, vorgelagerte Firewall, Zugang nur über VPN).
  3. Patchen
    Auf die Fixversion des eigenen Zweigs aktualisieren (15.1.10.8 · 16.1.6.1 · 17.1.3 · 17.5.1.3). Dies ist die einzige belastbare Behebung.
  4. Kompromittierung ausschließen
    Die IoCs unten abgleichen: unerwartete Dateien unter /run/, veränderte System-Binaries, bash-Ausführung über das Konto f5hubblelcdadmin und das Deaktivieren von SELinux. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff. Bei Verdacht Gerät als potenziell kompromittiert behandeln.
  5. Integrität verifizieren
    Web-Shells wurden teils rein im Speicher beobachtet – sie hinterlassen ggf. keine Dateispuren. sys-eicheck-Integritätsergebnisse sowie modifizierte Binaries (/usr/bin/umount, /usr/sbin/httpd) auswerten und herstellerseitige Hinweise befolgen.

Kompromittierungs-Indikatoren

  • Log-Marker (restjavad-audit): POST http://localhost:8100/mgmt/tm/util/bash
    durch Konto local/f5hubblelcdadmin (HTTP 200)
  • Datei-Marker: neu: /run/bigtlog.pipe, /run/bigstart.ltm
    verändert: /usr/bin/umount, /usr/sbin/httpd (sys-eicheck-Fehler)
  • System-Marker (auditd): avc: received setenforce notice (enforcing=0)
    – SELinux deaktiviert; Web-Shells teils rein im Speicher

Zur Einordnung: Die aufgeführten IoCs stammen aus den F5- und Analysten-Berichten zur beobachteten Kampagne und sind eine Momentaufnahme. Da Web-Shells rein im Speicher operieren können, ist der Dateisystem-Befund allein kein Ausschluss – die Auswertung der Audit- und Integritäts-Logs ist maßgeblich.

Wichtig: Web-Shells wurden teils ausschließlich im Arbeitsspeicher beobachtet und hinterlassen dann keine dauerhaften Dateispuren. Ohne Auswertung der Audit-Logs und Integritätsprüfungen bleibt ein bereits erfolgter Zugriff unter Umständen unsichtbar.

Empfehlung für die Geschäftsleitung

  • Patch innerhalb von 72 Stunden anordnen; bis dahin die Exposition betroffener APM-Server einschränken.
  • Prüfen lassen, ob bereits ein Zugriff erfolgt ist – dokumentiert für eine etwaige Meldung.
  • Über eine dauerhafte Überwachung des Perimeters und der BIG-IP-Integrität entscheiden.

Primärquellen

NVD CVE-2025-53521 · F5 Security Advisory K000156741 / Quarterly Security Notification K000156572 · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 27.03.2026) · Arctic Wolf · Beazley Security · Help Net Security. Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • SOFORTMASSNAHME

    Kompromittierung prüfen →

    Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Die bash-Ausführung über das Konto f5hubblelcdadmin und das Deaktivieren von SELinux. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • LAUFENDE LEISTUNG

    Managed XDR – Extended Detection and Response →

    Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.