Amerykańska agencja CISA dopisała świeżą lukę w SharePoincie do rządowej listy błędów, o których wiadomo, że napastnicy realnie wykorzystują je w atakach. To nie jest ostrzeżenie z laboratorium na zapas. W sieci pojawił się gotowy kod ataku, a pierwsze przejęcia podatnych serwerów ruszyły w ciągu kilku godzin od jego publikacji. Microsoft wydał już poprawkę w lipcowym zestawie aktualizacji, więc techniczna część problemu jest do zamknięcia od ręki. Kłopot w tym, że przy tej konkretnej dziurze samo załatanie serwera nie kończy sprawy.
Jedno spreparowane żądanie wystarczy, by przejąć serwer
Luka ma najwyższą półkę zagrożenia, ocenę 9,8 na 10. Kryje się w sposobie, w jaki SharePoint odczytuje dane z zewnątrz. Chodzi o mechanizm, który odtwarza gotowe obiekty z przesłanej treści. W uproszczeniu serwer ufa spreparowanej paczce danych bardziej, niż powinien, i wykonuje to, co napastnik w niej ukryje.
Efekt jest taki, że obca osoba może uruchomić własne polecenia na serwerze bez logowania i bez znajomości jakiegokolwiek hasła. W żargonie bezpieczeństwa to zdalne wykonanie kodu, czyli scenariusz, w którym atakujący przejmuje maszynę zdalnie, przez zwykłe żądanie sieciowe. A na takim serwerze firma trzyma zwykle wewnętrzne dokumenty i firmowy intranet.
Zagrożone są serwery stawiane w firmie
Warto od razu rozdzielić dwie rzeczy, bo SharePoint występuje w dwóch wcieleniach. Luka dotyczy potwierdzonych wersji instalowanych na własnych serwerach: SharePoint Server 2016, 2019 oraz Subscription Edition. To rozwiązania, które dział IT stawia i utrzymuje u siebie, we własnej serwerowni albo na wynajętej maszynie.
Chmurowa odsłona w ramach Microsoft 365 działa inaczej, a opisywane ataki celują właśnie w instalacje na własnych serwerach. Rozróżnienie ma znaczenie zwłaszcza w Polsce, gdzie taki SharePoint wciąż napędza intranety i obieg dokumentów w korporacjach, instytucjach publicznych i firmach z sektora finansowego. Serwer, który po cichu działa latami, bywa przy tym rzadziej aktualizowany i łatwiej znika z pola widzenia. To zwykle najbardziej narażone maszyny.
Sama łatka nie zamyka sprawy
Tu zaczyna się część, która odróżnia ten przypadek od zwykłej pilnej aktualizacji. Napastnicy nie tylko wchodzą na serwer, ale wykradają z niego tak zwane klucze maszynowe, czyli wewnętrzne sekrety serwera. Mając je w ręku, można wygenerować ważny token dostępu i wracać na serwer jak legalny użytkownik.
Konsekwencja jest niewygodna. Zainstalowanie poprawki zamyka samą dziurę, ale nie unieważnia kluczy, które zdążyły wyciec. Jeśli ktoś był na serwerze przed aktualizacją, może zachować wejście mimo świeżej łatki. Dlatego specjaliści od bezpieczeństwa radzą tu ostrożniej. Potencjalnie dotknięte maszyny lepiej potraktować jak już naruszone i wymienić na nich klucze oraz poświadczenia, a nie poprzestać na kliknięciu aktualizacji.
Co powinien zrobić administrator SharePointa
Kolejność działań jest dość prosta, choć wymaga chwili uwagi. Najpierw instalacja lipcowej poprawki Microsoftu na każdej firmowej instalacji SharePointa, bo to ona zamyka wejście. Zaraz potem rotacja kluczy maszynowych i poświadczeń, żeby unieważnić to, co napastnik mógł już wynieść.
Na koniec warto przejrzeć logi serwera pod kątem podejrzanych żądań z ostatnich dni. Szczególnie z okolic połowy lipca, kiedy ruszyły pierwsze ataki. Ta sama dyscyplina, o której pisaliśmy przy rekordowej serii łatek Microsoftu, obowiązuje tu z nawiązką, bo do przejęcia wystarczy, że podatny serwer jest osiągalny z sieci. Pełne szczegóły techniczne i wskazówki znajdują się w oficjalnym poradniku bezpieczeństwa Microsoftu oraz na liście aktywnie wykorzystywanych luk CISA.
Pierwsza Misja AI · Kodożercy
Rozumiesz zagrożenia, gdy rozumiesz, jak naprawdę działa technologia
Kurs Pierwsza Misja AI ma dedykowaną lekcję o ciemnej stronie technologii: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać – zacznij rozumieć.
Poznaj pełny program →
Podsumowanie
Najkrótsza wersja dla każdego, kto odpowiada za firmowego SharePointa: załataj, wymień klucze, sprawdź logi. Luka pozwala przejąć serwer bez logowania, ma niemal maksymalną ocenę zagrożenia i jest już aktywnie wykorzystywana, a gotowy kod ataku krąży publicznie. Dotyczy wersji stawianych na własnych serwerach, nie chmurowego SharePointa w Microsoft 365. Poprawka z lipcowego zestawu Microsoftu zamyka samą dziurę, ale na maszynach, które mogły zostać naruszone wcześniej, dopiero rotacja kluczy odbiera napastnikowi furtkę. To ten rodzaj zgłoszenia, przy którym zwłoka realnie zwiększa ryzyko, a sama aktualizacja zajmuje najwyżej wieczór.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
