F5 dicht kritiek lek in BIG‑IP APM: patch direct
F5 heeft een ernstig lek in BIG‑IP Access Policy Manager (APM) verholpen waardoor een aanvaller zonder inloggegevens op afstand code kan uitvoeren. Het volstaat om doelgericht, kwaadaardig verkeer naar het apparaat te sturen. Systemen lopen risico wanneer op de virtuele server een APM‑accesspolicy is geactiveerd; in veel omgevingen gaat dat samen met OAuth/OIDC‑profielen voor single sign‑on. F5 waarschuwt dat het lek actief wordt misbruikt. (bleepingcomputer.com)

Het probleem is vastgelegd als CVE‑2025‑53521 en is inmiddels beoordeeld als remote code execution met een kritieke score. CISA heeft de kwetsbaarheid op 27 maart 2026 toegevoegd aan de Known Exploited Vulnerabilities‑lijst, wat betekent dat overheidsinstanties in de VS verplicht moeten patchen. Ook het Britse NCSC en de Cyber Security Agency of Singapore roepen op om onmiddellijk te updaten vanwege vastgesteld misbruik. (thehackernews.com)

Wie is geraakt?

• BIG‑IP APM 15.x: vóór 15.1.10.8
• 16.x: vóór 16.1.6.1
• 17.1: vóór 17.1.3
• 17.5: vóór 17.5.1.3
  Organisaties die BIG‑IP APM inzetten als toegangspoort of identity‑aware proxy lopen verhoogd risico, zeker wanneer APM internetgericht staat. (digital.nhs.uk)

Wanneer ben je kwetsbaar?
De aanval werkt wanneer een APM‑accesspolicy aan een virtuele server is gekoppeld. In de praktijk betreft dit vaak implementaties met OAuth/OIDC (bijvoorbeeld wanneer BIG‑IP als OAuth‑autorisatieserver of resource‑server fungeert). Eerdere technische beschrijvingen koppelden vergelijkbare APM‑storingen expliciet aan een geconfigureerd OAuth‑profiel. Dit maakt systemen met federatie‑ en SSO‑flows extra interessant voor aanvallers. (techdocs.f5.com)

Waarom dit ertoe doet
APM zit vaak “aan de rand” van het netwerk en beslist wie naar binnen mag. Een pre‑auth RCE op dat punt is ideaal voor aanvallers om voet aan de grond te krijgen en lateraal te bewegen. Met name organisaties die APM gebruiken voor toegang tot kritieke applicaties of VPN‑achtige scenario’s moeten ervan uitgaan dat misbruik probeert plaats te vinden. (f5.com)

Actiepunten voor beheerders

• Patch nu naar een niet‑kwetsbare versie: 15.1.10.8, 16.1.6.1, 17.1.3 of 17.5.1.3 (of hoger). Plan een onderhoudsvenster en voer na installatie een herstart en validatie uit. (digital.nhs.uk)
• Kun je niet direct patchen? Beperk tijdelijk de blootstelling:
  • Verwijder waar mogelijk de APM‑accesspolicy van internetgerichte virtuele servers of zet APM uit op die virtuele servers.
  • Beperk toegang via IP‑filters of ACL’s en zet management‑interfaces achter een VPN of bastion. (dbcve.org)
• Controleer op sporen van misbruik. CISA’s KEV‑vermelding impliceert actieve aanvallen; onderzoek logs op afwijkend verkeer richting APM‑endpoints en voer een forensische review uit bij verdachte signalen. (thehackernews.com)
• Raadpleeg het (regelmatig bijgewerkte) vendor‑advies om te bevestigen of jouw build en modules geraakt zijn. In Nederland verwijst het NCSC naar F5‑artikel K000156741 voor de meest actuele stand. (cyber.gc.ca)

Extra context
In oktober 2025 kampte F5 met een afzonderlijk beveiligingsincident waarbij broncode en informatie over kwetsbaarheden werd buitgemaakt. Toezichthouders waarschuwden destijds dat dit het risico op gerichte aanvallen op F5‑apparaten vergroot. Dit onderstreept het belang van snelle updates en scherp monitoring rondom BIG‑IP‑omgevingen. (sec.gov)

Kortom: werk je met BIG‑IP APM, update dan vandaag nog naar een veilige release en beperk waar nodig de blootstelling. Controleer je configuraties (met name virtuele servers met APM en OAuth/OIDC) en monitort op afwijkingen. De dreiging is reëel en actueel; snel handelen verkleint de kans op impact aanzienlijk. (bleepingcomputer.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.