F5 BIG-IP Access Policy Manager に認証を必要としないリモートコードの実行につながる脆弱性

　一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は3月30日、F5 BIG-IP Access Policy Managerの脆弱性（CVE-2025-53521）に関する注意喚起を発表した。影響を受けるシステムは以下の通り。

BIG-IP APM（Access Policy Manager）
17.5.0から17.5.1、17.1.0から17.1.2までの17系のバージョン
16.1.0から16.1.6までの16系のバージョン
15.1.0から15.1.10までの15系のバージョン

　F5は現地時間3月29日に、BIG-IP Access Policy Managerの脆弱性（CVE-2025-53521）に関するアドバイザリを更新している。同脆弱性情報は2025年10月にサービス運用妨害の脆弱性として公表されていたが、今回の更新で認証を必要としないリモートコードの実行につながる脆弱性に変更されている。開発元では、同脆弱性を悪用する攻撃を確認しているという。

　また、JPCERT/CCでは、同脆弱性の影響を受ける可能性がある製品の国内での利用を確認している。

　JPCERT/CCでは、開発元が提供する最新の情報を確認の上で、影響を受けるバージョンを使用している場合は脆弱性を修正するバージョンの適用を検討するよう呼びかけている。