CISA potwierdza wykorzystanie luki w bibliotece libuser, która pozwala przejąć serwer Linux po wcześniejszym włamaniu. Poprawki są od 2015 roku, RHEL 5 ich nie dostanie. Sprawdź serwery dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które utrzymują serwery z Red Hat Enterprise Linux lub systemami z niego wywodzącymi się. Werdykt: jeśli na którymkolwiek serwerze działa libuser starsza niż 0.56.13-8 (RHEL 6) lub 0.60-7 (RHEL 7), zaktualizuj ją dziś, a serwery z RHEL 5 zaplanuj do wymiany, bo poprawki dla nich nie będzie.
Amerykańska agencja CISA 26 sierpnia 2026 roku dopisała do katalogu KEV lukę CVE-2015-3246 w bibliotece libuser. Katalog KEV to lista podatności, o których CISA ma dowody wykorzystania w prawdziwych atakach. Luka ma ponad 11 lat: ujawniono ją 23 lipca 2015 roku, a Red Hat wydał poprawki tego samego dnia. Wróciła, bo według raportu Cisco Talos z 20 sierpnia 2026 roku przestępcy używają jej po włamaniu na serwery Linux, żeby zdobyć pełne uprawnienia.
Biblioteka libuser odpowiada za zmiany danych kont użytkowników. Według opisu CVE modyfikuje plik haseł systemu bezpośrednio, więc zakłócenie tej operacji może zostawić plik w niespójnym stanie. Skutek to awaria logowania albo, w połączeniu z pokrewną luką CVE-2015-3245, przejęcie konta administratora (root).
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2015-3246 |
Data dodania do CISA KEV | 2026-08-26 |
Termin naprawy wg CISA | 2026-09-09 |
Produkt | Red Hat, biblioteka libuser (używana m.in. przez program userhelper z pakietu usermode) |
Wersje zagrożone | libuser przed 0.56.13-8 oraz od 0.60 przed 0.60-7 (NVD). Wg Red Hat wszystkie wersje w RHEL 6 i 7 przed poprawką oraz RHEL 5; NVD wymienia też openSUSE 13.2. Wg Red Hat wykorzystać lukę może tylko konto zapisane lokalnie w systemie, które zna swoje hasło |
Wersje bezpieczne | RHEL 6: libuser-0.56.13-8.el6_7 (RHSA-2015:1482); RHEL 7: libuser-0.60-7.el7_1 (RHSA-2015:1483). RHEL 5: brak poprawki (Red Hat: Will not fix) |
Typ podatności | Wyścig przy aktualizacji pliku haseł prowadzący do odmowy usługi lub podniesienia uprawnień; CWE-367 (wg CISA ADP, katalog KEV nie podaje CWE) |
Ocena CVSS | NVD: 7.2 (CVSS 2.0), atak lokalny, pełny wpływ. CISA ADP: 5.1 ŚREDNIA (CVSS 3.1), wysoka złożoność, wpływ na dostępność. Red Hat: 6.8 (CVSS 2.0), waga Important |
Wyobraź sobie kadrową, która poprawia listę pracowników z uprawnieniami do sejfu. Rozsądnie jest przepisać listę na czysto i dopiero gotową podmienić. Tu jednak kadrowa skreśla i dopisuje bezpośrednio na jedynym oryginale. Jeśli ktoś ją w tym momencie zagada, lista zostaje pół poprawiona: część nazwisk znika, a ktoś sprytny może wpisać się tam, gdzie nie powinien.
Tak działa ta luka. Biblioteka libuser zmienia plik z listą kont systemu „na żywo”, zamiast pracować na kopii. Lokalny użytkownik, który zakłóci ten proces, może uszkodzić plik i zablokować logowanie albo, łącząc to z drugą luką, stać się administratorem. Z internetu nie da się jej użyć bezpośrednio: napastnik musi już mieć konto na serwerze.
💡 libuser to biblioteka w systemach Red Hat do zarządzania kontami użytkowników. root to konto administratora z nieograniczonymi uprawnieniami w Linuksie. Podniesienie uprawnień to drugi krok typowego włamania: po wejściu na zwykłe konto napastnik zdobywa pełną kontrolę. Wyścig (race condition) to błąd, w którym wynik zależy od tego, co zdarzy się pierwsze w bardzo krótkim oknie czasu.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik zmienia swoje dane konta | Zmiana zapisuje się bezpiecznie | Zakłócona zmiana może uszkodzić listę kont |
Napastnik przejmuje stronę WWW na serwerze | Ma prawa tylko konta tej usługi | Może próbować zdobyć uprawnienia root |
Plik z listą kont po awarii | Pozostaje spójny | Może być niespójny, logowanie przestaje działać |
Stary serwer z RHEL 5 | Wymaga uwagi jak każdy system | Pozostaje podatny na stałe, poprawki nie będzie |
Obrazy chmurowe i kontenery zbudowane w 2015 roku | Traktowane jako gotowe | Wg Red Hat zawierały podatną wersję i wymagają aktualizacji |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na schemacie opisanym przez Cisco Talos. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie otwiera drzwi z internetu: przestępcy najpierw włamują się przez inną podatność, najczęściej w aplikacji WWW, a dopiero potem sięgają po libuser.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście | T+0 | Wykorzystanie luki w aplikacji WWW na serwerze wystawionym do internetu | Dostęp z prawami usługi WWW |
2. Utrwalenie | T+minuty | Pozostawienie ukrytego punktu dostępu na serwerze | Możliwość powrotu w dowolnej chwili |
3. Podniesienie uprawnień | T+minuty do godzin | Próby kolejnych znanych luk lokalnych, w tym CVE-2015-3246 | Uprawnienia administratora (root) |
4. Instalacja narzędzi | T+godziny | Wgranie oprogramowania do zdalnego sterowania serwerem | Stała kontrola nad maszyną |
5. Wykorzystanie | T+dni | Kradzież danych, oszustwa SEO na firmowej stronie | Straty finansowe i wizerunkowe |
Sama luka jest lokalna i ma średnią ocenę w CVSS 3.1, więc łatwo ją zbagatelizować. Ryzyko biznesowe wynika z trzech faktów: przestępcy używają jej dziś, publiczny exploit istnieje od 2018 roku, a luka dotyczy systemów, które w wielu firmach pracują latami bez aktualizacji. Dla serwera, na który ktoś już wszedł, to różnica między ograniczonym incydentem a pełnym przejęciem.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Uszkodzony plik kont blokuje logowanie, przejęty serwer trzeba odbudować | Godziny do dni | 20 tys. do 150 tys. PLN (przestój, odtworzenie serwera) |
Bezpieczeństwo danych | Kradzież danych klientów i haseł z przejętego serwera | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Utracona sprzedaż, koszty specjalistów, pilna migracja starych systemów | Tygodnie | 50 tys. do 400 tys. PLN łącznie |
Reputacyjny | Spam i podejrzane linki na firmowej stronie, spadek w wynikach wyszukiwania | Tygodnie do miesięcy | 20 tys. do 200 tys. PLN (utracone kontrakty, odbudowa pozycji) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwerów RHEL 5/6/7
z libuser bez poprawki z 2015 roku
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki, bo skutkiem może być przejęcie serwera, ale prawdopodobieństwo jest średnie, bo napastnik musi najpierw mieć lokalne konto, a luka nie daje się zautomatyzować (ocena CISA SSVC).
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie serwery, maszyny wirtualne i obrazy z RHEL 5, 6, 7 i systemami pochodnymi | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Sprawdzić wersję libuser i zaktualizować do 0.56.13-8 (RHEL 6) lub 0.60-7 (RHEL 7) albo nowszej | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Na serwerach z RHEL 5 zastosować obejście Red Hat blokujące zwykłym użytkownikom zmianę danych konta | Dziś | Administrator |
4 | 🟠 PILNIE | Przebudować obrazy chmurowe i kontenerowe, które mogą zawierać starą bibliotekę | Do 3 dni | DevOps |
5 | 🟠 PILNIE | Przejrzeć serwery WWW wystawione do internetu pod kątem śladów włamania i nieznanych kont | Do 7 dni | Administrator |
6 | 🟡 WAŻNIE | Przygotować plan wymiany lub wyłączenia RHEL 5 i innych systemów bez wsparcia | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wprowadzić stały raport serwerów z zaległymi aktualizacjami | Do 30 dni | Kierownik IT |
Red Hat wydał poprawki dla RHEL 6 i 7 w lipcu 2015 roku. Dla RHEL 5 poprawki nie będzie. Red Hat opisuje obejście: zablokowanie zwykłym użytkownikom narzędzi zmiany danych konta w konfiguracji uwierzytelniania, przy czym próby ich użycia są wtedy odrzucane i logowane. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Blokada narzędzi zmiany danych konta dla zwykłych użytkowników (obejście Red Hat) | Wysoka | Łatwa |
Ograniczenie liczby lokalnych kont z hasłem na serwerze | Średnia | Łatwa do średniej |
Aktualizacja aplikacji WWW, przez które napastnik wchodzi na serwer | Średnia: utrudnia pierwszy krok ataku | Średnia |
Odcięcie starego serwera od internetu lub jego wyłączenie | Wysoka dla tej maszyny | Średnia do trudnej |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Biblioteka libuser | Wersja z 2015 roku lub starsza | Wersja z poprawką Red Hat |
Włamanie przez stronę WWW | Może skończyć się pełnym przejęciem serwera | Napastnik zostaje z ograniczonymi prawami |
Serwery z RHEL 5 | Podatne na stałe | Obejście wdrożone, plan wymiany zatwierdzony |
Obrazy chmurowe i kontenery | Nieznana wersja biblioteki | Przebudowane i sprawdzone |
Wiedza o starych systemach | Rozproszona | Jedna lista z właścicielami |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); CISA SSVC: wykorzystanie aktywne |
Grupy przestępcze | Wg Cisco Talos chińskojęzyczna grupa UAT-10147, która atakuje serwery WWW i zajmuje się oszustwami SEO oraz kradzieżą danych |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | NVD 7.2 (CVSS 2.0); CISA ADP 5.1 ŚREDNIA (CVSS 3.1); Red Hat 6.8 (CVSS 2.0), waga Important |
PoC dostępny publicznie? | TAK: Qualys w 2015 roku opisał działający exploit, a od 2018 roku w Exploit Database jest publiczny moduł Metasploit |
Liczba atakowanych firm | Brak publicznych danych dla tej luki. Talos podaje listę około 170 tys. adresów celów grupy i ofiary m.in. w Brazylii, Boliwii, Chinach, Kanadzie i Wietnamie |
Sektory ofiar | Wg Talos: administracja, uczelnie, media, technologie, gry |
Uwarunkowania | Wymagane lokalne konto; źródła różnią się co do uwierzytelnienia (KEV i Red Hat: tak, wektor CISA ADP: PR:N) |
Oceny liczbowe mówią tu mniej niż fakt wykorzystania:
Sygnały zagrożenia dla CVE-2015-3246
CVSS 3.1 (CISA ADP) 5.1/10 ██████████░░░░░░░░░░ ŚREDNIA
CVSS 2.0 (NVD) 7.2/10 ██████████████░░░░░░ wysoka
Publiczny exploit TAK ████████████████████ od 2018 r.
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (SSVC) NIE ░░░░░░░░░░░░░░░░░░░░ wymaga dostępu lokalnego 2015-07-23 Qualys ujawnia lukę, Red Hat wydaje poprawki RHSA-2015:1482 i 1483
2015-08-11 Publikacja rekordu CVE-2015-3246
2018-05-16 Publiczny moduł Metasploit w Exploit Database
2026-08-20 Cisco Talos opisuje użycie luki przez grupę UAT-10147
2026-08-26 CISA dodaje lukę do katalogu KEV
2026-08-27 NVD aktualizuje wpis i dodaje raport Talos
2026-09-09 Termin naprawy wg CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat Red Hat z listą poprawek i obejściem: Red Hat, libuser vulnerabilities (CVE-2015-3245 and CVE-2015-3246) . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2015-3246 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać listę serwerów z RHEL 5, 6, 7 i systemami pochodnymi | CTO | DZISIAJ |
2 | Potwierdzić aktualizację libuser na RHEL 6 i 7 | CTO | DZISIAJ |
3 | Zatwierdzić obejście Red Hat na serwerach bez poprawki | CTO | DZISIAJ |
4 | Ustalić, które serwery WWW są wystawione do internetu i kto za nie odpowiada | CTO | DO JUTRA |
5 | Oszacować koszt wymiany lub wyłączenia RHEL 5 | CFO | DO JUTRA |
6 | Sprawdzić, czy polisa cyberubezpieczenia wyklucza systemy bez wsparcia producenta | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile mamy serwerów z RHEL 5, 6, 7 lub systemami pochodnymi? | [liczba] | 🔴 |
2 | Jaka wersja libuser jest zainstalowana na każdym z nich? | [wersja] | 🔴 |
3 | Czy na serwerach z RHEL 5 wdrożono obejście Red Hat? | TAK / NIE | 🔴 |
4 | Kiedy ostatnio przebudowano obrazy chmurowe i kontenerowe? | [data] | 🟠 |
5 | Czy serwery WWW z tymi systemami są dostępne z internetu? | TAK / NIE | 🟠 |
6 | Czy sprawdzono serwery WWW pod kątem nieznanych kont i ukrytych punktów dostępu? | TAK / NIE, [data] | 🟠 |
7 | Do kiedy planujemy wymianę systemów bez wsparcia producenta? | [data] | 🟡 |
CVE-2015-3246 to luka sprzed 11 lat, która w 2026 roku trafiła do katalogu CISA KEV, bo przestępcy używają jej do przejmowania serwerów Linux po wcześniejszym włamaniu. Poprawki dla RHEL 6 i 7 istnieją od lipca 2015 roku, więc ich brak jest dziś wyłącznie kwestią zaniedbania. Największe ryzyko dotyczy zapomnianych serwerów z RHEL 5, dla których jedynym trwałym rozwiązaniem jest obejście i szybka wymiana.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.