Błąd w sterowniku grafiki układów Qualcomm pozwala aplikacji przejąć telefon lub tablet. CISA potwierdza ataki, a poprawkę dostarcza producent urządzenia. Sprawdź daty poprawek na telefonach służbowych.
Ten alert jest dla zarządu, CTO i CFO firm, które wydają pracownikom telefony i tablety z Androidem na układach Qualcomm Snapdragon albo pozwalają na pocztę służbową na prywatnych urządzeniach. Werdykt: sprawdź dziś datę poprawek bezpieczeństwa na telefonach służbowych; urządzenia bez aktualizacji od producenta z czerwca 2025 roku lub późniejszej traktuj jako zagrożone, bo luka jest wykorzystywana w atakach.
Amerykańska agencja CISA 3 czerwca 2025 roku dopisała podatność CVE-2025-21479 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Tego samego dnia dodała jeszcze dwie luki w układach Qualcomma: CVE-2025-21480 i CVE-2025-27038. Błąd siedzi w sterowniku układu graficznego (GPU): przy określonej sekwencji poleceń układ wykonuje polecenia, na które nie powinien pozwolić, co uszkadza pamięć i pozwala przekroczyć granice oddzielające aplikacje od reszty systemu.
CISA nie wskazuje wersji z poprawką, tylko każe sprawdzić stan aktualizacji u producentów urządzeń. Qualcomm opisał lukę w biuletynie z czerwca 2025 roku, ale poprawkę do telefonu dostarcza jego producent. Termin naprawy wg CISA minął 24 czerwca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-21479 |
Data dodania do CISA KEV | 2025-06-03 |
Termin naprawy wg CISA | 2025-06-24 (21 dni od wpisu) |
Produkt | Qualcomm, wiele układów (m.in. SD855, SM6250, QCM4490, QCA6391, rodzina FastConnect; handlowo m.in. Snapdragon 870, 888, 480+) w telefonach, tabletach i innych urządzeniach różnych producentów |
Wersje zagrożone | Urządzenia z wymienionymi układami bez poprawki od producenta urządzenia; bazy nie podają numerów wersji oprogramowania. Atak lokalny: napastnik musi uruchomić coś na urządzeniu (np. aplikację), potrzebne jest działanie użytkownika |
Wersje bezpieczne | Brak jednego numeru wersji. Poprawka według biuletynu Qualcomm z czerwca 2025 roku, wdrożona przez producenta telefonu; na urządzeniu weryfikuje się ją po dacie poprawek bezpieczeństwa w ustawieniach i biuletynie producenta danego modelu |
Typ podatności | Nieprawidłowa autoryzacja w sterowniku GPU prowadząca do uszkodzenia pamięci; CWE-863 |
Ocena CVSS | Qualcomm: 8.6 WYSOKA (CVSS 3.1). Atak lokalny, bez uprawnień, wymaga działania użytkownika, skutki wychodzą poza układ graficzny. NVD nie wystawiła własnej oceny |
Wyobraź sobie biurowiec, w którym każdy najemca ma swoje piętro, a między piętrami są zamknięte drzwi. Wszyscy najemcy korzystają jednak ze wspólnej windy towarowej. Ktoś odkrył, że jeśli wciśnie przyciski w windzie w odpowiedniej kolejności, winda zawiezie go na dowolne piętro, także do zamkniętego archiwum innej firmy, bo nie sprawdza, kto o co prosi.
Układ graficzny w telefonie jest taką wspólną windą: korzysta z niego prawie każda aplikacja, bo rysuje ekran. System Android oddziela aplikacje od siebie, żeby kalkulator nie czytał poczty. Ten błąd pozwala aplikacji z dostępem do grafiki przekroczyć tę granicę. Aplikacja do skanowania paragonów zainstalowana przez pracownika może więc sięgnąć do poczty służbowej na tym samym telefonie.
💡 GPU to układ graficzny, który rysuje obraz na ekranie i przyspiesza grafikę. Autoryzacja to sprawdzenie, czy ktoś ma prawo o coś prosić (nie mylić z logowaniem). Atak lokalny wymaga, by napastnik miał już coś uruchomione na urządzeniu. OEM to producent urządzenia (np. telefonu), który wdraża poprawki od producenta układu. Data poprawek bezpieczeństwa w ustawieniach Androida pokazuje, jak aktualne są zabezpieczenia.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Aplikacja prosi o dostęp do grafiki | Ma dostęp tylko do swoich danych | Może przekroczyć granice i sięgnąć do innych aplikacji |
Poczta służbowa na telefonie | Chroniona przed innymi aplikacjami | Dostępna dla złośliwej aplikacji |
Dwa telefony z tym samym układem | Jednakowo bezpieczne | Zależy od tego, czy producent telefonu wydał aktualizację |
Stary model poza wsparciem | Działa jak zwykle | Nigdy nie dostanie poprawki |
Sprawdzenie, czy firma jest zagrożona | Numer wersji z bazy | Model telefonu, jego układ i data poprawek |
źródło: freepikPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie daje wejścia do telefonu z internetu; zamienia mały przyczółek (np. złośliwą aplikację) w pełną kontrolę. CISA ocenia wykorzystanie jako aktywne, ze skutkiem całkowitym, ale bez możliwości automatyzacji, co wskazuje na ataki celowane.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 min | Wybór osób w firmie (zarząd, finanse) i ustalenie modeli ich telefonów | Lista celów |
2. Przyczółek | T+dni | Nakłonienie do instalacji aplikacji spoza sklepu, otwarcia pliku lub linku | Kod napastnika uruchomiony jako zwykła aplikacja |
3. Wykorzystanie | T+sekundy | Wysłanie do sterownika GPU sekwencji poleceń wywołującej błąd | Uszkodzenie pamięci i przekroczenie granic aplikacji |
4. Przejęcie | T+minuty | Uzyskanie szerokich uprawnień na urządzeniu | Kontrola nad telefonem |
5. Szpiegowanie | T+dni do tygodni | Odczyt poczty, komunikatorów, kodów SMS, lokalizacji | Wyciek informacji i dostęp do kont |
6. Wykorzystanie dostępu | T+tygodnie | Logowanie do systemów firmy kodami przechwyconymi z telefonu | Włamanie do firmy przez telefon |
Telefon służbowy trzyma pocztę, komunikatory, aplikację bankową i kody do logowania. Firma nie może sama naprawić tej luki: poprawka przechodzi od Qualcomma przez producenta telefonu, a czasem operatora. Jedyne, na co firma ma wpływ, to wybór sprzętu, zasady instalowania aplikacji i wycofywanie urządzeń bez wsparcia.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana telefonów bez wsparcia, ponowna konfiguracja kont | Dni do tygodni | 10 tys. do 80 tys. PLN (sprzęt, czas IT) |
Bezpieczeństwo danych | Wyciek poczty, komunikatorów, kodów SMS i dokumentów z telefonu | Dni od przejęcia | 20 tys. do 150 tys. PLN (analiza, zmiana haseł) |
Finansowy | Nieautoryzowane operacje bankowe, oszustwa z użyciem przejętych kont | Tygodnie | 20 tys. do 400 tys. PLN |
Reputacyjny | Wyciek poufnej korespondencji zarządu lub klientów | Tygodnie do miesięcy | 20 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z telefonami na układach Qualcomm
bez aktualizacji
Wpływ
5 | . . . . .
4 | . ■ . . . ← ŚREDNIE / WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełna kontrola nad telefonem z pocztą i kodami), ale prawdopodobieństwo dla typowej firmy jest niskie, bo atak wymaga przyczółka na urządzeniu i jest celowany (EPSS poniżej 1%); dla zarządu i osób z dostępem do finansów ryzyko rośnie.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Zebrać listę telefonów i tabletów służbowych z modelem i datą poprawek bezpieczeństwa | Dziś | Dział IT |
2 | 🔴 NATYCHMIAST | Zainstalować wszystkie dostępne aktualizacje systemu na urządzeniach | Dziś | Pracownicy / dział IT |
3 | 🟠 PILNIE | Sprawdzić u producenta każdego modelu, czy wydał poprawkę z biuletynu Qualcomm z czerwca 2025 roku | Do 3 dni | Dział IT |
4 | 🟠 PILNIE | Zablokować instalację aplikacji spoza oficjalnego sklepu na urządzeniach służbowych (zarządzanie urządzeniami, MDM) | Do 7 dni | Dział IT |
5 | 🟠 PILNIE | Wskazać urządzenia bez wsparcia producenta i zaplanować ich wymianę, zaczynając od zarządu i finansów | Do 7 dni | CTO / CFO |
6 | 🟡 WAŻNIE | Wprowadzić do zasad zakupu wymóg zadeklarowanego okresu aktualizacji bezpieczeństwa | Do 30 dni | CFO / dział zakupów |
7 | 🟡 WAŻNIE | Ustalić minimalną datę poprawek bezpieczeństwa wymaganą do dostępu do poczty służbowej | Do 30 dni | CTO |
Qualcomm opisał poprawkę, ale to producent telefonu decyduje, czy i kiedy ją wyda. CISA zaleca sprawdzenie stanu u producentów urządzeń, a przy braku poprawki zaprzestanie używania produktu. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Blokada instalacji aplikacji spoza oficjalnego sklepu | Średnia do wysokiej: utrudnia zdobycie przyczółka | Łatwa z MDM |
Wymóg minimalnej daty poprawek do dostępu do poczty i systemów firmy | Wysoka: odcina niezałatane urządzenia od danych | Średnia |
Przeniesienie poczty i danych służbowych z niewspieranych telefonów | Wysoka | Średnia |
Wymiana urządzeń bez wsparcia producenta | Wysoka | Trudna finansowo przy wielu urządzeniach |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o telefonach służbowych | Brak listy modeli i dat poprawek | Lista z modelami, układami i datami poprawek |
Instalacja aplikacji | Dowolna, także spoza sklepu | Tylko z oficjalnego sklepu |
Dostęp do poczty służbowej | Z każdego urządzenia | Tylko z urządzeń z aktualnymi poprawkami |
Urządzenia bez wsparcia | Nadal w użyciu | Wycofane lub bez danych służbowych |
Kryteria zakupu | Tylko cena | Cena i okres wsparcia bezpieczeństwa |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); ocena CISA: aktywne, bez automatyzacji, skutek całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.6 WYSOKA wg Qualcomm (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Powiązane luki dodane tego samego dnia | CVE-2025-21480 (nieprawidłowa autoryzacja) i CVE-2025-27038 (use-after-free) w układach Qualcomm |
Prognoza EPSS | Około 0,008 (poniżej 1%), mniej więcej połowa stawki znanych luk (wg analizy źródłowej) |
Niska prognoza EPSS i potwierdzone ataki nie przeczą sobie: EPSS mierzy skalę, a ataki wymagające przyczółka na konkretnym telefonie nigdy nie będą masowe. Firma kierująca się tylko EPSS przeoczy każdą lukę używaną w atakach celowanych.
Sygnały zagrożenia dla CVE-2025-21479
CVSS 3.1 (Qualcomm) 8.6/10 █████████████████░░░ WYSOKA
EPSS (próba w 30 dni) ~0,8% ░░░░░░░░░░░░░░░░░░░░ niska wartość
CISA KEV TAK ████████████████████ ataki potwierdzone
Atak LOKALNY ██████████░░░░░░░░░░ wymaga przyczółka
Poprawka OEM ██████████░░░░░░░░░░ zależy od producenta 2025-06 Biuletyn bezpieczeństwa Qualcomm (czerwiec 2025)
2025-06-03 Publikacja CVE-2025-21479 w NVD; CISA dodaje lukę do KEV
razem z CVE-2025-21480 i CVE-2025-27038
2025-06-24 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 15 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta układów: Qualcomm Security Bulletin, czerwiec 2025 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-21479 . Stan poprawek dla konkretnego modelu sprawdza się w biuletynie producenta telefonu.
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić listę telefonów i tabletów służbowych z modelem i datą poprawek | CTO | DZISIAJ |
2 | Polecić pracownikom zainstalowanie wszystkich dostępnych aktualizacji systemu | CTO | DZISIAJ |
3 | Ustalić, które urządzenia zarządu i finansów nie mają aktualizacji z czerwca 2025 roku lub nowszej | CTO | DO JUTRA |
4 | Zatwierdzić budżet na wymianę urządzeń bez wsparcia, zaczynając od najbardziej narażonych osób | CFO | DO JUTRA |
5 | Dodać okres wsparcia bezpieczeństwa do kryteriów zakupu telefonów | CFO | DO JUTRA |
6 | Zatwierdzić zasadę: poczta służbowa tylko na urządzeniach z aktualnymi poprawkami | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile mamy telefonów i tabletów służbowych na układach Qualcomm? | [liczba] | 🔴 |
2 | Jaka jest najstarsza data poprawek bezpieczeństwa na urządzeniach służbowych? | [data] | 🔴 |
3 | Które modele nie są już wspierane przez producenta? | [lista modeli] | 🔴 |
4 | Czy pracownicy mogą instalować aplikacje spoza oficjalnego sklepu? | TAK / NIE | 🟠 |
5 | Czy mamy system zarządzania urządzeniami mobilnymi (MDM)? | TAK / NIE | 🟠 |
6 | Czy poczta służbowa jest dostępna z prywatnych telefonów pracowników? | TAK / NIE | 🟠 |
7 | Czy dostęp do poczty zależy od daty poprawek na urządzeniu? | TAK / NIE | 🟡 |
CVE-2025-21479 w sterowniku grafiki układów Qualcomm pozwala aplikacji na telefonie przekroczyć granice systemu i przejąć urządzenie, a CISA potwierdza ataki. Firma nie zainstaluje tej poprawki sama, bo dostarcza ją producent telefonu, więc dziś trzeba sprawdzić daty poprawek na urządzeniach służbowych, zablokować aplikacje spoza sklepu i zaplanować wymianę sprzętu bez wsparcia.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.