Aanvallers zijn erin geslaagd om bij F5 broncode en informatie over niet bekendgemaakte kwetsbaarheden te stelen, zo heeft het netwerkbedrijf vandaag bekendgemaakt. Daarnaast zijn er updates voor de BIG-IP software van F5 uitgebracht. In de waarschuwing aan klanten zegt F5 dat het in augustus ontdekte dat een "zeer geraffineerde statelijke actor" langetermijntoegang tot systemen had, en er bestanden van bepaalde F5-systemen zijn gedownload.

Wat de aanvaller geraffineerd maakt en hoe die toegang tot de F5-systemen kon krijgen is niet bekendgemaakt. De getroffen systemen bevatten allerlei informatie over F5-producten. Het gaat onder andere om BIG-IP broncode en informatie over niet bekendgemaakte kwetsbaarheden in BIG-IP. F5 voegt toe dat het niet gaat om nog niet bekendgemaakte kritieke of remote code execution kwetsbaarheden en is het bedrijf niet bekend met actief misbruik van de niet bekendgemaakte F5-beveiligingslekken.

Het BIG-IP-platform van F5 wordt voor verschillende toepassingen gebruikt, zoals load balancing en application delivery. De afgelopen jaren zijn kwetsbaarheden in BIG-IP geregeld het doelwit van aanvallen geweest. F5 stelt dat er geen bewijs is aangetroffen dat de aanvallers aanpassingen aan de software supply chain hebben doorgevoerd, waaronder de broncode en de build en release pipelines. Ook zijn er geen aanwijzingen dat de aanvallers toegang hadden tot de NGINX-broncode en productieomgeving. NGINX is een platform voor het ontwikkelen van apps en api's.

Naar aanleiding van het incident heeft F5 updates voor de BIG-IP software uitgebracht en is er "Threat intelligence" voor klanten beschikbaar. Binnen de eigen organisatie heeft F5 inloggegevens gereset en access controls aangescherpt. Tevens is verbeterde inventory en patch management automation uitgerold en tooling om beter op dreigingen te monitoren. Daarnaast zijn er niet nader genoemde verbeteringen aan de netwerkbeveiligingsarchitectuur doorgevoerd en is de productontwikkelomgeving extra beveiligd.

"Bij succesvol misbruik van de getroffen F5-producten kan een aanvaller toegang tot embedded credentials en Application Programming Interface (API) keys krijgen, zich lateraal door het organisatienetwerk bewegen, data stelen en persistente systeemtoegang krijgen", aldus het Britse National Cyber Security Centre (NCSC), dat een stappenplan voor F5-klanten heeft opgesteld.