F5 BIG-IP APM : le CERT-FR clôt son alerte sur une faille exploitée

Le CERT-FR a clôturé le 28 juillet 2026 l'alerte référencée CERTFR-2026-ALE-004, consacrée à une faille d'exécution de code arbitraire à distance dans F5 BIG-IP Access Policy Manager. Ouverte le 31 mars, elle portait sur la vulnérabilité CVE-2025-53521, qu'un attaquant peut déclencher sans disposer du moindre compte sur l'équipement.

L'origine du dossier remonte à l'automne précédent. F5 avait diffusé le 15 octobre 2025 un bulletin de sécurité référencé K000156741, qui traitait notamment de cette vulnérabilité, et le centre gouvernemental de veille rattaché à l'ANSSI l'avait repris dès le lendemain dans son avis CERTFR-2025-AVI-0886. Le passage au format alerte, plus contraignant, est intervenu cinq mois plus tard : le 29 mars 2026, l'éditeur a indiqué que la faille était activement exploitée.

Quatre branches de versions à corriger

Le périmètre couvre tous les modules de BIG-IP Access Policy Manager, la brique de contrôle d'accès et d'authentification des équipements de F5. Quatre branches de maintenance sont visées, chacune avec une version de sortie de vulnérabilité distincte.

• branche 15.1.x : versions antérieures à 15.1.10.8
• branche 16.1.x : versions antérieures à 16.1.6.1
• branche 17.1.x : versions antérieures à 17.1.3
• branche 17.5.x : versions antérieures à 17.5.1.3

Le CERT-FR ne diffuse pas lui-même les correctifs et renvoie les administrateurs au bulletin de l'éditeur pour les obtenir. Il publie en revanche une méthode de vérification, empruntée à un billet technique de F5 référencé K000160486, pour déterminer si un équipement a déjà été attaqué avant sa mise à jour.

Les traces à rechercher sur les équipements

La recherche se fait en trois temps. Sur le système de fichiers, la présence des fichiers /run/bigtlog.pipe ou /run/bigstart.ltm signale une compromission, de même qu'un condensat, une taille ou une date de création anormale sur les binaires /usr/bin/umount et /usr/sbin/httpd.

Dans les journaux, trois emplacements sont à examiner. Les fichiers restjavad-audit du répertoire /var/log conservent la trace d'une requête iControl passée par l'interface REST sous un compte local nommé f5hubblelcdadmin. Les journaux d'audit du noyau, sous /var/log/auditd, peuvent porter la trace d'une tentative de désactivation de SELinux déclenchée par cette même requête. Le fichier /var/log/audit enregistre enfin les commandes lancées par ce compte via l'utilitaire bash de l'interface d'administration.

Deux commandes complètent le contrôle. L'outil sys-eicheck, le vérificateur d'intégrité installé sur les appliances BIG-IP, compare les exécutables présents sur le disque aux empreintes stockées dans la base de paquets RPM : une erreur de conformité sur umount ou httpd constitue un signal. La commande lsof -n permet de son côté de confirmer la présence du canal /run/bigtlog.pipe, qui suffit à établir la compromission.

La clôture ne vaut pas fin de la menace

Le cas de BIG-IP APM illustre la durée de vie de ce type de dossier : un correctif disponible depuis octobre 2025, une exploitation constatée par l'éditeur près de six mois plus tard, une alerte française maintenue quatre mois de plus. Les équipements de bordure, dont les contrôleurs d'accès font partie, restent exposés directement sur Internet et figurent parmi les cibles récurrentes signalées par l'agence.

D'autres produits F5 corrigés à la mi-juillet

Le sujet ne se limite pas à cette faille. Le 16 juillet 2026, le CERT-FR avait déjà traité huit bulletins de sécurité publiés la veille par F5, portant sur d'autres briques de la gamme. Les risques énumérés vont de l'exécution de code arbitraire à distance au déni de service, en passant par l'atteinte à la confidentialité et à l'intégrité des données ainsi que le contournement de la politique de sécurité.

Les produits touchés par cette seconde série sont BIG-IP Next CNF en version 2.3.2, BIG-IP Next SPK jusqu'à la version 2.0.3, BIG-IP dans les versions antérieures à 21.1.0, F5 WAF avant 5.13.3, ainsi que trois déclinaisons du serveur NGINX : le contrôleur Ingress avant 5.5.3, la version libre avant 1.31.3 et NGINX Plus avant 37.0.3.