CVE-2025-53521
F5 BIG-IP Stack-Based Buffer Overflow Vulnerability
Beschreibung
CVE-2025-53521 ist eine kritische Stack-basierte Pufferueberlauf-Schwachstelle in F5 BIG-IP APM (Access Policy Manager), die Remote-Code-Ausfuehrung ermoeglicht. Die Schwachstelle wurde zunaechst im Oktober 2025 als Denial-of-Service-Problem klassifiziert, nach dem Nachweis aktiver Exploitation jedoch als Remote-Code-Execution umklassifiziert. Wenn eine APM Access Policy auf einem Virtual Server konfiguriert ist, kann ein Angreifer durch boesartigen Netzwerkverkehr beliebigen Code auf der BIG-IP-Appliance ausfuehren. Betroffen sind BIG-IP Versionen 15.x, 16.x und 17.x. Mit einem CVSS v4-Score von 9.3 (CRITICAL) und einem EPSS-Score von 41.4 % stellt CVE-2025-53521 eine aussergewoehnlich hohe Bedrohung dar.
Die CISA hat CVE-2025-53521 am 27. Maerz 2026 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 30. Maerz 2026.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| f5 | big-ip access policy manager | >= 15.1.0, < 15.1.10.8; >= 16.1.0, < 16.1.6.1; >= 17.1.0, < 17.1.3; >= 17.5.0, < 17.5.1.3 |
Referenzen
- https://my.f5.com/manage/s/article/K000156741(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-53521(US Government Resource)
Schwachstellentyp
CWE-121: Stack-based Buffer Overflow
CVE-2025-53521 wird unter CWE-121 (Stack-based Buffer Overflow) klassifiziert. Diese Schwaeche tritt auf, wenn ein Programm Daten ueber die Grenzen eines Stack-Puffers hinaus schreibt, was zur Korruption von Stack-Daten einschliesslich Ruecksprungadressen fuehrt und einem Angreifer die Kontrolle ueber den Programmfluss ermoeglicht.
Bei CVE-2025-53521 liegt der Pufferueberlauf in der Verarbeitungslogik des BIG-IP APM fuer eingehenden Netzwerkverkehr. Wenn eine APM Access Policy auf einem Virtual Server aktiv ist, werden bestimmte Datenfelder aus dem Netzwerkverkehr in einen Stack-Puffer kopiert, ohne die Laenge ausreichend zu pruefen. Ein Angreifer kann uebergrosse Daten senden, die den Puffer ueberschreiben, die Ruecksprungadresse manipulieren und beliebigen Code im Kontext des BIG-IP-Prozesses ausfuehren.
Mehr erfahren: CWE-121 — Stack-based Buffer Overflow
Auswirkungsanalyse
CVE-2025-53521 traegt einen CVSS v4-Basisscore von 9.3 (CRITICAL). Die Schwachstelle ist netzwerkbasiert ausnutzbar, erfordert keine Authentifizierung und keine Benutzerinteraktion. Der Angriff erfolgt ueber boesartigen Netzwerkverkehr gegen den Virtual Server.
Vertraulichkeit (High): Ein Angreifer erlangt Code-Ausfuehrung auf der BIG-IP-Appliance und damit Zugriff auf die gesamte Netzwerkverkehr-Verarbeitung. BIG-IP-Systeme terminieren haeufig SSL/TLS-Verbindungen, wodurch der Angreifer unverschluesselten Datenverkehr einschliesslich Zugangsdaten und sensibler Unternehmensdaten einsehen kann.
Integritaet (High): Die Kontrolle ueber eine BIG-IP-Appliance ermoeglicht die Manipulation des durchgeleiteten Netzwerkverkehrs, das Einschleusen schaedlicher Inhalte in HTTP-Antworten, die Umleitung von Verbindungen und die Kompromittierung der gesamten Netzwerk-Infrastruktur.
Verfuegbarkeit (High): Der Pufferueberlauf kann zum Absturz des BIG-IP-Prozesses fuehren — dies war der urspruenglich erkannte DoS-Angriffsvektor. Da BIG-IP-Systeme als Load Balancer und Application Delivery Controller kritische Infrastrukturkomponenten sind, kann ein Ausfall den Zugriff auf saemtliche dahinterliegende Anwendungen unterbrechen.
Der EPSS-Score von 41.4 % und die Existenz von 3 oeffentlichen PoC-Exploits auf GitHub unterstreichen die akute Bedrohungslage.
Exploit-Reifegrad
CVE-2025-53521 weist eine sehr hohe Exploit-Reife auf. Die CISA hat die Schwachstelle am 27. Maerz 2026 in den KEV-Katalog aufgenommen, mit einer aussergewoehnlich kurzen Behebungsfrist bis zum 30. Maerz 2026. Der EPSS-Score von 41.4 % bestaetigt eine extrem hohe Ausnutzungswahrscheinlichkeit.
Besonders bemerkenswert ist die Entwicklung der Schwachstellenbewertung: Zunaechst im Oktober 2025 als Denial-of-Service klassifiziert, wurde die Schwachstelle nach dem Nachweis aktiver Exploitation als Remote-Code-Execution umklassifiziert. F5 hat daraufhin im Februar 2026 zusaetzliche Patches veroeffentlicht.
3 oeffentliche Proof-of-Concept-Exploits sind auf GitHub verfuegbar, was die Einstiegshuerde fuer Angreifer erheblich senkt. Die Kombination aus oeffentlich verfuegbarem Exploit-Code, einer grossen Installationsbasis von BIG-IP-Systemen und der kritischen Rolle dieser Geraete in Unternehmensnetzwerken macht CVE-2025-53521 zu einem bevorzugten Ziel fuer Ransomware-Gruppen und staatliche Akteure.
Behebung
-
Betroffene BIG-IP-Versionen umgehend patchen: Aktualisieren Sie auf die folgenden korrigierten Versionen: 15.1.10.8 oder hoeher (15.x), 16.1.6.1 oder hoeher (16.x), 17.1.3 oder hoeher (17.1.x), 17.5.1.3 oder hoeher (17.5.x). Patches wurden im Oktober 2025 und Februar 2026 veroeffentlicht.
-
APM-Konfiguration pruefen: Die Schwachstelle ist nur ausnutzbar, wenn eine APM Access Policy auf einem Virtual Server konfiguriert ist. Pruefen Sie, welche Virtual Server APM nutzen, und priorisieren Sie deren Patching.
-
Temporaere Risikominderung durch iRules: Falls ein sofortiges Patching nicht moeglich ist, implementieren Sie F5-empfohlene iRules, die den ausloesenden Netzwerkverkehr filtern und blockieren.
-
Kompromittierungsindikatoren pruefen: Untersuchen Sie BIG-IP-Appliances auf Anzeichen einer Kompromittierung. Pruefen Sie Systemprotokolle auf ungewoehnliche Prozessabstuerze (zunaechst DoS-Anzeichen), unautorisierte Konfigurationsaenderungen und verdaechtige Netzwerkverbindungen.
-
Netzwerkzugriff auf Management-Interfaces einschraenken: Stellen Sie sicher, dass die BIG-IP-Management-Oberflaeche nicht aus dem Internet erreichbar ist. Beschraenken Sie den Zugriff auf ein dediziertes Management-Netzwerk.
-
BIG-IP-Systeme in Monitoring-Loesung einbinden: Integrieren Sie BIG-IP-Appliances in Ihre SIEM- und Monitoring-Infrastruktur. Ueberwachen Sie insbesondere auf ungewoehnliche Prozessaktivitaeten, verdaechtige ausgehende Verbindungen und Anzeichen lateraler Bewegung im Netzwerk.
Technische Details
CVE-2025-53521 ist eine Stack-basierte Pufferueberlauf-Schwachstelle in der APM-Komponente (Access Policy Manager) von F5 BIG-IP. Die Schwachstelle befindet sich in der Verarbeitungslogik fuer eingehenden Netzwerkverkehr, wenn eine APM Access Policy auf einem Virtual Server konfiguriert ist. Bestimmte Felder aus dem eingehenden Netzwerkverkehr werden in einen Stack-Puffer mit fester Groesse kopiert, ohne die Eingabelaenge ausreichend zu validieren. Ein Angreifer kann uebergrosse Daten senden, die den Puffer ueberschreiben und die auf dem Stack gespeicherte Ruecksprungadresse manipulieren. Dies ermoeglicht die Uebernahme des Kontrollflusses und die Ausfuehrung beliebigen Codes im Kontext des BIG-IP TMM-Prozesses (Traffic Management Microkernel). Die Schwachstelle wurde zunaechst als DoS-Problem identifiziert, da der Pufferueberlauf zuverlaessig zum Prozessabsturz fuehrt. Erst spaeter wurde nachgewiesen, dass gezielte Exploitation auch Code-Ausfuehrung ermoeglicht, woraufhin F5 die Klassifizierung aenderte. Betroffen sind BIG-IP Versionen 15.x (vor 15.1.10.8), 16.x (vor 16.1.6.1), 17.1.x (vor 17.1.3) und 17.5.x (vor 17.5.1.3). Die 3 auf GitHub verfuegbaren PoC-Exploits demonstrieren sowohl den DoS- als auch den RCE-Angriffsvektor.
Häufig gestellte Fragen
Wird CVE-2025-53521 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2025-53521 am 27. Maerz 2026 in den KEV-Katalog aufgenommen. Der EPSS-Score von 41.4 % und 3 oeffentliche PoC-Exploits auf GitHub bestaetigen eine hohe Ausnutzungswahrscheinlichkeit. Die Schwachstelle wurde von DoS zu RCE umklassifiziert, nachdem aktive Exploitation nachgewiesen wurde.
Welche Produkte sind von CVE-2025-53521 betroffen?
Betroffen ist F5 BIG-IP in den Versionen 15.x (vor 15.1.10.8), 16.x (vor 16.1.6.1), 17.1.x (vor 17.1.3) und 17.5.x (vor 17.5.1.3). Die Schwachstelle ist nur ausnutzbar, wenn eine APM Access Policy auf einem Virtual Server konfiguriert ist.
Wie behebe ich CVE-2025-53521?
Aktualisieren Sie BIG-IP auf die korrigierten Versionen (15.1.10.8, 16.1.6.1, 17.1.3 bzw. 17.5.1.3 oder hoeher). Falls ein sofortiges Update nicht moeglich ist, implementieren Sie die von F5 empfohlenen iRules als temporaere Risikominderung.
Wie schwerwiegend ist CVE-2025-53521?
Mit einem CVSS v4-Score von 9.3 (CRITICAL), einem EPSS-Score von 41.4 % und 3 oeffentlichen PoC-Exploits ist CVE-2025-53521 eine der kritischsten Schwachstellen. BIG-IP-Systeme sind zentrale Infrastrukturkomponenten, deren Kompromittierung den gesamten Netzwerkverkehr einer Organisation gefaehrdet.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.