Błąd w sterowniku CLFS pozwala programowi na zwykłym koncie zdobyć uprawnienia SYSTEM. Microsoft opisał ataki zakończone szyfrowaniem danych, CISA potwierdza użycie w ransomware. Sprawdź, czy wszystkie komputery mają aktualizacje z kwietnia 2025.
Ten alert jest dla zarządu, CTO i CFO firm, które używają komputerów i serwerów z Windows, czyli praktycznie każdej firmy. Werdykt: jeśli na którymkolwiek komputerze lub serwerze nie ma aktualizacji zbiorczych z kwietnia 2025 roku albo nowszych, zainstaluj je dziś, bo ta luka była używana do przejmowania pełnej kontroli nad systemem przed szyfrowaniem danych (ransomware).
Amerykańska agencja CISA 8 kwietnia 2025 roku, w dniu wydania poprawki, dopisała podatność CVE-2025-29824 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Oznaczyła ją też jako używaną w kampaniach ransomware.
Błąd dotyczy sterownika CLFS (Common Log File System), składnika Windows działającego w jądrze systemu i prowadzącego dzienniki dla innych programów. Pozwala on programowi uruchomionemu na zwykłym koncie pracownika podnieść swoje uprawnienia do poziomu SYSTEM, czyli najwyższego w Windows, wyższego niż konto administratora. Luka nie otwiera drzwi z internetu: napastnik musi już mieć dostęp do komputera, choćby na najsłabszym koncie.
Microsoft opisał prawdziwy łańcuch ataku zakończony szyfrowaniem plików. Termin naprawy wyznaczony przez CISA minął 29 kwietnia 2025 roku, czyli prawie półtora roku temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-29824 |
Data dodania do CISA KEV | 2025-04-08 |
Termin naprawy wg CISA | 2025-04-29 (21 dni od wpisu) |
Produkt | Microsoft Windows, sterownik Common Log File System (CLFS) |
Wersje zagrożone | 27 wariantów Windows bez aktualizacji z kwietnia 2025: Windows 10 (1507, 1607, 1809, 21H2, 22H2), Windows 11 (22H2, 23H2, 24H2), Windows Server 2008, 2008 R2, 2012, 2012 R2, 2016, 2019, 2022, 2022 23H2 i 2025. Atak wymaga lokalnego dostępu z dowolnym kontem |
Wersje bezpieczne | Aktualizacje z 8 kwietnia 2025 lub nowsze, m.in. Windows 10 21H2/22H2: KB5055518; Windows 11 22H2/23H2: KB5055528; Windows 11 24H2 i Server 2025: KB5055523; Server 2022: KB5055526; Server 2019: KB5055519; Server 2016: KB5055521; Server 2012 R2: KB5055557; Server 2012: KB5055581; najstarszy Windows 10 1507: KB5055547 (wydana dzień później). Najnowsza dostępna: bieżąca aktualizacja zbiorcza dla danego wydania |
Typ podatności | Użycie pamięci po zwolnieniu (use-after-free) prowadzące do podniesienia uprawnień; CWE-416 |
Ocena CVSS | Microsoft (w NVD): 7.8 (CVSS 3.1, WYSOKA), atak lokalny, niska złożoność, niskie uprawnienia, bez udziału użytkownika. Ocena czasowa Microsoft: 7.2, z adnotacją o istniejącym działającym kodzie ataku. NVD nie wystawił własnej oceny |
Wyobraź sobie hotel, w którym recepcja wydaje gościowi klucz do pokoju 214, potem go wymeldowuje i oddaje pokój komuś innemu, ale stary klucz nadal otwiera drzwi. Sprytny gość pilnuje, żeby zaraz po wymeldowaniu to on wprowadził się do tego pokoju ze swoimi rzeczami. Gdy obsługa hotelu wraca po „swoje” rzeczy, bierze to, co zostawił gość, i traktuje jako własne.
Tak działa ten błąd w sterowniku CLFS. System zwalnia fragment pamięci, ale nadal z niego korzysta, a napastnik podkłada tam swoje dane. W efekcie program uruchomiony na zwykłym koncie, np. przez otwarcie złośliwego załącznika, zmienia sobie uprawnienia na najwyższe. Ograniczone konta pracowników, które miały chronić firmę, przestają być przeszkodą.
💡 Podniesienie uprawnień (elevation of privilege) oznacza, że ktoś z małymi prawami w systemie zdobywa duże. SYSTEM to najwyższy poziom uprawnień w Windows, na którym działa sam system. Jądro (kernel) to rdzeń systemu, który ma dostęp do wszystkiego. Ransomware to oprogramowanie szyfrujące dane i żądające okupu. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera złośliwy załącznik na koncie bez uprawnień administratora | Szkodliwy program ma ograniczone możliwości | Program zdobywa uprawnienia SYSTEM |
Szkodliwy program próbuje wyłączyć antywirusa | Brak uprawnień, próba się nie udaje | Może wyłączyć ochronę i wyczyścić dzienniki |
Na komputerze logował się kiedyś administrator | Hasło w pamięci jest poza zasięgiem zwykłego konta | Napastnik może wyciągnąć z pamięci dane logowania |
Serwer plików w sieci | Dostępny tylko dla uprawnionych kont | Dostępny dla napastnika z przejętym kontem administratora |
Windows 11 24H2 | Nowsze zabezpieczenia utrudniają ataki | Luka istnieje, ale zaobserwowany kod ataku nie działał; poprawka i tak jest potrzebna |
źródło: freepikPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na łańcuchu opisanym przez Microsoft. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka jest drugim krokiem: napastnik najpierw musi uruchomić swój program na komputerze w firmie, np. przez phishing lub wcześniejsze złośliwe oprogramowanie, a dopiero potem używa błędu w CLFS.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście | T+0 min | Uruchomienie złośliwego programu na zwykłym koncie (załącznik, fałszywa strona, wcześniejsza infekcja) | Napastnik na komputerze, ale z ograniczonymi prawami |
2. Podniesienie uprawnień | T+kilka minut | Wykorzystanie błędu w sterowniku CLFS, nadpisanie znacznika uprawnień własnego procesu | Uprawnienia SYSTEM |
3. Kradzież haseł | T+kilkadziesiąt minut | Zrzut pamięci procesu przechowującego dane logowania | Hasła i tokeny kont, często także administratora domeny |
4. Rozprzestrzenienie | T+kilka godzin do dni | Logowanie na serwery plików i inne komputery przejętymi kontami | Dostęp do najważniejszych danych firmy |
5. Przygotowanie | T+1 do 7 dni | Wyłączanie ochrony, usuwanie kopii zapasowych dostępnych z sieci | Brak łatwej drogi odtworzenia |
6. Szyfrowanie | T+dni | Zaszyfrowanie plików i pozostawienie żądania okupu | Przestój i żądanie zapłaty |
Mogę Ci jakoś pomóc?
Luki „lokalne” trafiają często na koniec listy zadań, bo nie pozwalają wejść do firmy z internetu. To złe kryterium: ta luka daje napastnikowi wszystko, co następuje po wejściu, a wejście przez phishing jest w małych i średnich firmach codziennością. Właśnie w tym miejscu incydent zamienia się w zaszyfrowany serwer.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane serwery plików, systemy zleceń i księgowości, kilka dni przestoju | Dni od wejścia | 50 tys. do 400 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież haseł, dokumentów kadrowych i danych klientów przed szyfrowaniem | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Żądanie okupu, utracone zamówienia, koszty specjalistów i nadgodzin | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, pytania ubezpieczyciela o nienaprawioną znaną lukę | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z komputerami Windows bez aktualizacji z 04.2025
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki, bo luka prowadzi do pełnej kontroli nad komputerem i jest potwierdzonym elementem ataków ransomware, a prawdopodobieństwo wysokie, ale nie maksymalne, bo napastnik potrzebuje najpierw dostępu do komputera; w firmie, która instaluje aktualizacje Windows co miesiąc, ryzyko od tej luki praktycznie znika.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić w konsoli zarządzania aktualizacjami (WSUS, Intune, RMM), czy wszystkie komputery i serwery mają aktualizacje z kwietnia 2025 lub nowsze | Dziś | Administrator systemów |
2 | 🔴 NATYCHMIAST | Zainstalować bieżącą aktualizację zbiorczą na każdej maszynie, która jej nie ma, zaczynając od serwerów i serwerów terminalowych | Dziś | Administrator systemów / partner IT |
3 | 🟠 PILNIE | Znaleźć komputery z systemami bez wsparcia (np. Server 2008/2012 bez rozszerzonego wsparcia) i zaplanować ich odcięcie lub wymianę | Do 7 dni | CTO |
4 | 🟠 PILNIE | Wprowadzić zasadę, że konta administratora domeny nie logują się do stacji roboczych pracowników | Do 7 dni | Administrator systemów |
5 | 🟠 PILNIE | Sprawdzić, czy kopie zapasowe są odseparowane i niedostępne dla kont z przejętego komputera | Do 7 dni | Administrator kopii zapasowych |
6 | 🟡 WAŻNIE | Zaplanować migrację starszych stacji do Windows 11 24H2 lub nowszego, który ma dodatkowe utrudnienia dla ataków | Do 90 dni | CTO |
7 | 🟡 WAŻNIE | Ustalić stały miesięczny cykl aktualizacji Windows z raportem dla zarządu | Do 30 dni | CTO |
Microsoft wydał poprawki dla wszystkich wspieranych wydań i nie podał żadnego obejścia poza instalacją aktualizacji. Poniższe miary tylko ograniczają skutki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Instalacja aktualizacji zbiorczej (jedyna poprawka wskazana przez producenta) | Wysoka: usuwa lukę | Łatwa, wymaga restartu |
Odizolowanie niezaktualizowanych maszyn od serwerów plików i kont administracyjnych | Średnia: ogranicza zasięg ataku | Średnia |
Oddzielne konta administratorów, niełogujące się na stacje robocze | Średnia: utrudnia kradzież haseł po przejęciu komputera | Średnia |
Blokowanie makr i uruchamiania plików z załączników poczty | Średnia: utrudnia pierwszy krok ataku | Średnia |
Kopie zapasowe offline lub niezmienialne | Wysoka dla odtworzenia danych, nie chroni przed kradzieżą | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Komputery i serwery Windows | Część bez aktualizacji z kwietnia 2025 | Wszystkie z bieżącą aktualizacją zbiorczą |
Skutek kliknięcia w złośliwy załącznik | Może skończyć się uprawnieniami SYSTEM | Program zostaje na zwykłym koncie |
Hasła administratorów | Zostają w pamięci stacji roboczych | Konta administracyjne używane tylko na serwerach |
Kopie zapasowe | Dostępne z sieci, mogą zostać zaszyfrowane | Odseparowane, możliwe odtworzenie |
Zgodność z terminem CISA | Zaległość od 29 kwietnia 2025 (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Microsoft wykrył ją jako lukę dnia zerowego, używaną przed wydaniem poprawki |
Grupy przestępcze | Storm-2460 (nazwa Microsoft), dostarczająca złośliwe oprogramowanie PipeMagic |
Kampanie ransomware | TAK (CISA KEV: Known). Żądanie okupu w pliku !_READ_ME_REXX2_!.txt, adres w sieci Tor powiązany z rodziną RansomEXX |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, Microsoft); ocena czasowa Microsoft 7.2 |
PoC dostępny publicznie? | Microsoft potwierdza istnienie działającego kodu ataku; brak potwierdzonych informacji o publicznie opublikowanym PoC |
Liczba atakowanych firm | Niewielka liczba celów: firmy IT i nieruchomości w USA, sektor finansowy w Wenezueli, firma programistyczna w Hiszpanii, handel detaliczny w Arabii Saudyjskiej |
Windows 11 24H2 | Zaobserwowany kod ataku nie działał, bo system ogranicza dostęp do potrzebnych informacji o jądrze; luka jednak występuje i wymaga poprawki |
Prognoza EPSS | Około 13,8% szansy próby wykorzystania w ciągu 30 dni, wyżej niż 96% znanych podatności (wg analizy źródłowej) |
Microsoft podkreśla, że grupy ransomware szczególnie cenią luki podnoszące uprawnienia po wejściu, bo zamieniają one dostęp z jednego komputera w dostęp do całej sieci:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-29824
CVSS 3.1 (Microsoft) 7.8/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~13.8% ███░░░░░░░░░░░░░░░░░ wyżej niż 96% luk
Luka dnia zerowego TAK ████████████████████ ataki przed poprawką
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana przed 04.2025 Ataki Storm-2460 z użyciem luki (luka dnia zerowego)
2025-04-08 Microsoft wydaje poprawki i publikuje analizę ataku
2025-04-08 Publikacja CVE w NVD, CISA dodaje lukę do KEV (ransomware: Known)
2025-04-09 Poprawka KB5055547 dla najstarszego Windows 10 (1507)
2025-04-29 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 17 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Microsoft z listą poprawek: msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-29824 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-29824 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać raport: ile komputerów i serwerów Windows nie ma aktualizacji z ostatnich 30 dni | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową instalację aktualizacji na maszynach z zaległościami, także z restartem w godzinach pracy | CTO | DZISIAJ |
3 | Ustalić, czy w firmie działają systemy bez wsparcia producenta | CTO | DZISIAJ |
4 | Potwierdzić, że kopie zapasowe są odseparowane od sieci i były ostatnio testowo odtwarzane | CTO | DO JUTRA |
5 | Zlecić przegląd kont administratorów i miejsc, w których się logują | CTO | DO JUTRA |
6 | Zarezerwować budżet na wymianę lub migrację systemów bez wsparcia | CFO | DO JUTRA |
7 | Sprawdzić w polisie cyberubezpieczenia wymogi dotyczące aktualizacji i znanych luk | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile komputerów i serwerów Windows nie ma zainstalowanej aktualizacji zbiorczej z ostatniego miesiąca? | [liczba] | 🔴 |
2 | Kiedy zainstalowano ostatnią aktualizację zbiorczą na serwerach plików i serwerach terminalowych? | [data] | 🔴 |
3 | Czy mamy systemy Windows bez wsparcia producenta (np. Server 2008 lub 2012 bez rozszerzonego wsparcia)? | TAK / NIE, [liczba] | 🔴 |
4 | Czy konta administratora domeny logują się na stacje robocze pracowników? | TAK / NIE | 🟠 |
5 | Czy kopie zapasowe są niedostępne dla kont z sieci firmowej i kiedy ostatnio testowano odtworzenie? | TAK / NIE, [data testu] | 🟠 |
6 | Jaki odsetek stacji działa na Windows 11 24H2 lub nowszym? | [procent] | 🟡 |
7 | Czy mamy narzędzie, które alarmuje o próbach zrzutu pamięci procesu logowania lub wyłączenia antywirusa? | TAK / NIE | 🟡 |
CVE-2025-29824 pozwala programowi uruchomionemu na zwykłym koncie przejąć pełną kontrolę nad Windows i była używana w atakach zakończonych szyfrowaniem danych. Microsoft wydał poprawki 8 kwietnia 2025 roku, a termin CISA minął 29 kwietnia 2025 roku, więc każda maszyna bez tych aktualizacji to zaległość do usunięcia dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.