Katalog CISA i trzy luki. Jedna sięga najdalej

Amerykańska agencja CISA dopisała 11 sierpnia trzy pozycje do spisu luk wykorzystywanych w prawdziwych atakach. Wyglądają równorzędnie, bo katalog nie stopniuje skutków, tylko zasięg mają zupełnie różny. Pierwsza pozwala wejść bez logowania i wyjść z uprawnieniami administratora, a producent sam potwierdził, że ktoś już z niej korzysta. Druga doprowadza urządzenie brzegowe do restartu, bez bezpośredniego sięgania po dane. Trzecia wymaga, żeby napastnik miał już konto na maszynie. Pobraliśmy katalog CISA własnoręcznie i przy okazji wyszła jeszcze jedna rzecz. Terminy mijające jutro nie dotyczą tych produktów, o których mówiło się najgłośniej.

Skutki luki w Metabase sięgają najdalej

Chodzi o Metabase, czyli narzędzie do analityki biznesowej. Firmy oglądają w nim wykresy sprzedaży bez pisania zapytań do bazy, więc bywa podpięte do wszystkiego, co w firmie liczy pieniądze.

Luka nosi numer CVE-2026-72898 i ma ocenę 10 w dziesięciostopniowej skali, czyli maksymalną. Rozbicie tej noty na składniki pokazuje wysoki wpływ naraz na poufność, integralność i dostępność, czyli komplet. Atak idzie przez sieć, nie wymaga konta ani żadnego działania ze strony pracownika. Napastnik wstrzykuje własne zapytania do bazy, na której stoi sama aplikacja, i wychodzi z uprawnieniami administratora instancji. Dalej może zmienić konfigurację, wykraść przechowywane poświadczenia do wszystkich podpiętych baz, przeczytać dostępne przez nie dane i je wyeksportować.

Producent dokłada do tego zdanie mocniejsze niż sam wpis w katalogu. W swoim ostrzeżeniu napisał wprost, że potwierdził aktywne wykorzystywanie tej luki, i poprosił o aktualizację najszybciej, jak się da.

Zostaje kwestia, o której trzeba powiedzieć od razu. Wpis do tego katalogu zobowiązuje formalnie amerykańskie urzędy federalne, bo termin bierze się z tamtejszej dyrektywy. Polska firma nie ma z tego tytułu żadnego obowiązku prawnego. Ma natomiast najlepszy dostępny sygnał, że akurat tę trójkę ktoś już wykorzystuje w praktyce, a nie opisał w laboratorium.

To ta sama luka, przez którą wyciekły dane klientów Framework

Kiedy opisywaliśmy wyciek adresów klientów producenta laptopów Framework, ta luka nie miała jeszcze numeru. Napisaliśmy wtedy, że Metabase opisuje błąd pod identyfikatorem nadanym przez GitHuba i że kto szuka twardej skali zdarzenia, ten jej nie znajdzie. Od 11 sierpnia znajdzie.

Sprawdziliśmy tę tożsamość na trzy sposoby, bo domysł tu nie wystarczy. Zakres podatnych wydań zaczyna się w ostrzeżeniu producenta od 1.58, dokładnie tak jak podawało jego lipcowe oświadczenie. Obejście doraźne każe zablokować końcówkę resetowania hasła, czyli tę samą, której nieudane wywołanie podaliśmy wcześniej jako ślad w logach. Na koniec sam katalog wskazuje w polu z odnośnikami trzy dokumenty naraz: oświadczenie Metabase, ostrzeżenie z GitHuba i wpis w amerykańskiej bazie podatności. Zszywa je w jedną sprawę za nas.

Wychodzi z tego zwyczajny cykl życia luki, tyle że wyjątkowo szybki. Ostrzeżenie producenta poszło 6 sierpnia, wpis do katalogu pięć dni później. Błąd, przez który adresy dostawy wyszły z narzędzia od wykresów, jest dziś urzędowo oznaczony jako wykorzystywany w atakach.

Co zrobić, jeśli macie Metabase u siebie

Zakres podatności zaczyna się od wydania 1.58. Producent opublikował poprawki w sześciu gałęziach naraz:

• x.58.24 i x.59.21
• x.60.17 i x.61.11
• x.62.9 i x.63.5

Jeżeli aktualizacja nie wchodzi w grę dzisiaj, producent podaje obejście doraźne: zablokować dostęp do końcówki /api/session/reset_password. To zatyka drogę, którą napastnik wchodzi, ale nie zamyka sprawy.

Osobna lista dotyczy tych, u których ta końcówka była widoczna z internetu. Po aktualizacji trzeba unieważnić wszystkie aktywne sesje użytkowników i przejrzeć klucze API pod kątem nierozpoznanych wpisów. Potem sprawdzić konta administratorów, wymienić poświadczenia do wszystkich podpiętych baz oraz przejrzeć logi hurtowni i historię zapytań.

Szczególnie ważna jest wymiana poświadczeń do podpiętych baz. Narzędzie analityczne trzyma dostępy do źródeł, z których czerpie dane, a aktualizacja zamyka wejście i na tym poprzestaje. Poświadczeń, które napastnik zdążył stamtąd zabrać, nie unieważnia.

Pierwsza Misja AI · Kodożercy

Rozumiesz zagrożenia AI, gdy rozumiesz jak naprawdę działa.

Kurs Pierwsza Misja AI ma dedykowaną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać, zacznij rozumieć.

Poznaj pełny program →

Cisco restartuje urządzenie, Windows wymaga wejścia od środka

Dwa pozostałe wpisy warto opisać dokładnie, bo z samej oceny liczbowej nie wynika, co napastnik faktycznie może przez nie zrobić.

Luka w Cisco dotyczy zapór Secure Firewall w odmianach ASA i FTD, a jej ocena wynosi 8,6. Brzmi groźnie i rzeczywiście działa przez sieć, bez konta i bez udziału użytkownika. Więcej mówi jednak rozbicie tej noty na składniki. Poufność i integralność mają w nim wartość zerową, a wysoką ma wyłącznie dostępność. Po ludzku: bezpośrednim skutkiem tej luki nie jest sięgnięcie po dane, tylko nieoczekiwany restart urządzenia, czyli odmowa usługi. Nie znaczy to, że można ją odłożyć. Zapora, którą ktoś obcy potrafi zrestartować na życzenie, bywa problemem pierwszej kategorii, zwłaszcza gdy stoi jako jedyne przejście do sieci firmowej i nie ma za sobą zapasowego urządzenia.

Luka w Windowsie siedzi w sterowniku pomocniczym obsługi sieci i należy do klasy zwanej użyciem po zwolnieniu. Program sięga tam po obszar pamięci, który wcześniej sam oddał do ponownego użytku, a napastnik może w międzyczasie umieścić w tym miejscu własną zawartość. Ocena to 7,0, tyle że warunki są wymagające. Atak działa lokalnie, ma wysoką złożoność i wymaga, żeby napastnik miał już na maszynie konto. To jest narzędzie drugiego kroku, używane po wejściu, a nie sposób na wejście.

Dwa terminy mijają jutro, ale nie dla tych produktów

Tu wchodzi ustalenie, dla którego warto było pobrać plik katalogu samodzielnie. W wersji z 11 sierpnia, liczącej 1665 pozycji, terminy rozkładają się tak: Cisco 14 sierpnia, Metabase 14 sierpnia, Windows 25 sierpnia.

Parą, której czas mija jutro, są więc zapora Cisco i Metabase. Zestawienia łączące jutrzejszy termin z luką w Windowsie są nieścisłe, bo tamten wpis dostał jedenaście dni więcej. Różnica nie jest akademicka, skoro chodzi o kolejność zadań na dzisiejsze popołudnie.

Druga rzecz widoczna dopiero w pliku dotyczy pola z informacją o kampaniach szyfrujących dane. Wszystkie trzy wpisy mają tam wartość “nieznane”. Sam katalog nie pozwala więc przypisać tych luk konkretnej grupie przestępczej, a takie przypisanie wymagałoby osobnego źródła.

Blog opisywał ten sam mechanizm na początku sierpnia przy krytycznej luce w serwerze TeamCity. Rozróżnienie było wtedy identyczne. Termin obowiązuje amerykańskie urzędy, a łatka przydaje się wszystkim.

Podsumowanie

Katalog CISA dostał 11 sierpnia trzy nowe wpisy, a spośród nich najszerszy zakres skutków ma luka w Metabase. Ocena 10 na 10, atak przez sieć bez konta, uprawnienia administratora instancji i dostęp do poświadczeń wszystkich podpiętych baz, do tego potwierdzenie aktywnego wykorzystywania od samego producenta. Jest to dokładnie ta sama podatność, przez którą wyciekły dane klientów Framework, tyle że wtedy nie miała jeszcze numeru. Poprawki wyszły w sześciu gałęziach, a doraźnie można zablokować końcówkę resetowania hasła. Luka w zaporach Cisco prowadzi do restartu urządzenia, a nie do bezpośredniego sięgnięcia po dane, choć przy jednym urządzeniu brzegowym bez zapasu jest to problem sam w sobie. Ta w Windowsie wymaga konta na maszynie i wysokiej złożoności ataku. Terminy 14 sierpnia dotyczą Cisco i Metabase, nie Windowsa, który ma czas do 25 sierpnia.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.