Błąd w bibliotece obrazów telefonów Samsung z Androidem 13-16 pozwala na odległość uruchomić kod spreparowanym plikiem. Samsung i CISA potwierdzają ataki. Sprawdź, czy telefony mają poprawki z września 2025 lub nowsze.
Ten alert jest dla zarządu, CTO i CFO firm, których pracownicy używają służbowych telefonów Samsung z Androidem. Werdykt: jeśli data poprawek bezpieczeństwa w telefonie jest starsza niż wrzesień 2025 roku, zaktualizuj go dziś, a telefony, które nie dostają już aktualizacji, zaplanuj do wymiany, bo luka pozwala przejąć telefon spreparowanym obrazem i jest wykorzystywana w atakach.
Amerykańska agencja CISA 2 października 2025 roku dopisała podatność CVE-2025-21043 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Samsung w swoim biuletynie z września 2025 roku napisał, że otrzymał informację o istnieniu exploita wykorzystywanego w praktyce.
Błąd siedzi w bibliotece libimagecodec.quram.so, która w telefonach Samsunga zamienia pliki graficzne w obraz na ekranie. Działa automatycznie, gdy przychodzi wiadomość ze zdjęciem, gdy galeria buduje miniatury albo gdy otwiera się stronę. Zapis poza wyznaczony obszar pamięci pozwala napastnikowi na odległość wykonać na telefonie dowolny kod. Błąd zgłosiły zespoły bezpieczeństwa Meta i WhatsApp. Termin naprawy wg CISA minął 23 października 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-21043 (Samsung: SVE-2025-1702) |
Data dodania do CISA KEV | 2025-10-02 |
Termin naprawy wg CISA | 2025-10-23 (21 dni od wpisu) |
Produkt | Samsung Mobile Devices, biblioteka obrazów libimagecodec.quram.so |
Wersje zagrożone | Telefony i tablety Samsung z Androidem 13, 14, 15 i 16 z poprawkami bezpieczeństwa starszymi niż SMR Sep-2025 Release 1 (NVD wylicza ponad sto wariantów systemu) |
Wersje bezpieczne | Pakiet bezpieczeństwa SMR Sep-2025 Release 1 (wrzesień 2025) lub nowszy. Brak opublikowanego obejścia |
Typ podatności | Zapis poza granicami bufora (out-of-bounds write), prowadzący do wykonania kodu; CWE-787 |
Ocena CVSS | NVD: 9.8 KRYTYCZNA (CVSS 3.1, bez udziału użytkownika). Samsung: 8.8 WYSOKA (CVSS 3.1, z udziałem użytkownika), w biuletynie waga Critical. Atak przez sieć, bez logowania |
Wyobraź sobie ciemnię fotograficzną, w której pracownik wywołuje każdą odbitkę, która przyjdzie pocztą, bez zaglądania do koperty. Ktoś przysyła „zdjęcie”, które w rzeczywistości zawiera instrukcję: „przy wywoływaniu wylej odczynnik na sąsiedni stół i przestaw szafę z archiwum”. Pracownik mechanicznie wykonuje wszystkie kroki i robi coś, czego nikt mu nie zlecił.
Tak działa ten błąd. Biblioteka obrazów w telefonie Samsunga przetwarza grafiki automatycznie, bez pytania właściciela. Spreparowany plik powoduje, że dane zostają zapisane w miejscu pamięci należącym do czegoś innego. Napastnik, który dobrze przygotuje plik, może w ten sposób uruchomić na telefonie własny kod: bez hasła, bez odblokowania i bez zgody użytkownika, jeśli przyjąć ocenę NVD.
💡 Biblioteka to wspólny element oprogramowania, z którego korzysta wiele aplikacji. Zapis poza granicami bufora to błąd, w którym program zapisuje dane w miejscu pamięci, które do niego nie należy. SMR (Security Maintenance Release) to comiesięczny pakiet poprawek bezpieczeństwa Samsunga. EPSS to statystyczna prognoza prawdopodobieństwa wykorzystania luki w ciągu 30 dni.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Przychodzi wiadomość ze zdjęciem | Telefon wyświetla podgląd | Spreparowany obraz może uruchomić kod napastnika |
Galeria buduje miniatury | Zwykła praca w tle | Przetwarzanie złośliwego pliku bez wiedzy właściciela |
Szkolenie „nie otwieraj podejrzanych plików” | Zmniejsza ryzyko | Może nie pomóc, jeśli atak nie wymaga działania użytkownika |
Poczta, bank, komunikator na telefonie | Dostępne tylko dla właściciela | Dostępne dla napastnika |
Telefon z poprawką z września 2025 lub nowszą | Bezpieczny | Bezpieczny |
źródło: Pexels, Annushka AhujaPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Napastnik musi dostarczyć spreparowany plik konkretnej osobie, znając jej numer albo konto w komunikatorze. CISA ocenia, że takiego ataku nie da się zautomatyzować, ale jego skutek techniczny jest całkowity. To atak na wybrane osoby, a nie masowe skanowanie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T-dni | Ustalenie, kto w firmie ma dostęp do cennych informacji, zdobycie numeru telefonu lub konta w komunikatorze | Konkretna osoba i jej telefon |
2. Dostarczenie pliku | T+0 min | Wysłanie spreparowanego obrazu przez komunikator, SMS/MMS lub stronę | Plik trafia do telefonu |
3. Wykonanie kodu | T+sekundy do minut | Automatyczne przetworzenie obrazu uruchamia błąd w bibliotece | Obcy kod działa na telefonie |
4. Przejęcie danych | T+godziny | Dostęp do poczty, komunikatorów, zdjęć dokumentów, kodów autoryzacyjnych | Wgląd w korespondencję i finanse |
5. Wykorzystanie | T+dni | Śledzenie negocjacji, przejmowanie kont, podszywanie się pod pracownika | Przewaga nad firmą, oszustwa |
6. Skutki | T+tygodnie | Utracony kontrakt, wyciek danych klientów, nieautoryzowane przelewy | Straty finansowe i obowiązki prawne |
W małych firmach telefony są „sprzętem osobistym”, nawet gdy kupiła je firma. Tymczasem to w telefonie jest poczta służbowa, aplikacja bankowa, komunikator z klientami i zdjęcia dokumentów. Niska prognoza EPSS nie oznacza bezpieczeństwa: oznacza, że atak jest wybiórczy. Jeśli nastąpi, to dlatego, że ktoś wybrał właśnie tę firmę.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Czyszczenie i ponowna konfiguracja telefonów, wymiana haseł i kont | Dni | 5 tys. do 40 tys. PLN (praca IT, przerwa w pracy) |
Bezpieczeństwo danych | Wyciek poczty, rozmów z klientami, zdjęć dokumentów | Godziny do dni | 20 tys. do 200 tys. PLN (analiza, w tym urządzeń mobilnych) |
Finansowy | Utracony kontrakt, próby nieautoryzowanych przelewów | Tygodnie | 50 tys. do 1 mln PLN (zależnie od wartości kontraktu) |
Reputacyjny | Klienci dowiadują się o wycieku z telefonu pracownika | Miesiące | 30 tys. do 300 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w 72 godziny i ewentualnie powiadomienia klientów; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla telefonu Samsung z poprawkami
starszymi niż wrzesień 2025
Wpływ
5 | . . . . .
4 | . ■ . ■ . ← po prawej: osoby kluczowe (zarząd,
3 | . . . . . finanse, negocjacje): WYSOKIE
2 | . . . . . ← po lewej: typowy pracownik: ŚREDNIE
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełne przejęcie telefonu), a prawdopodobieństwo zależy od tego, kto telefonu używa, bo atak jest wybiórczy i nie da się go zautomatyzować; dla osób z dostępem do finansów i strategicznych informacji ryzyko jest wysokie.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić na każdym służbowym telefonie Samsung datę poprawek bezpieczeństwa (Ustawienia, Informacje o oprogramowaniu) | Dziś | Administrator IT / każdy pracownik |
2 | 🔴 NATYCHMIAST | Zainstalować dostępne aktualizacje, zaczynając od telefonów zarządu, finansów i handlowców | Dziś | Pracownicy z pomocą IT |
3 | 🟠 PILNIE | Spisać telefony używane do pracy: model, użytkownik, data poprawek | Do 3 dni | Administrator IT |
4 | 🟠 PILNIE | Wskazać telefony, które nie dostały poprawki z września 2025 lub nowszej, bo nie są już wspierane | Do 7 dni | Administrator IT |
5 | 🟠 PILNIE | Na niewspieranych telefonach wyłączyć dostęp do poczty firmowej i aplikacji bankowej do czasu wymiany | Do 7 dni | Administrator IT / CFO |
6 | 🟡 WAŻNIE | Wpisać wymianę niewspieranych telefonów do planu zakupów | Do 30 dni | CFO |
7 | 🟡 WAŻNIE | Ustalić kwartalny przegląd dat poprawek na telefonach lub wdrożyć system zarządzania urządzeniami mobilnymi | Do 30 dni | CTO |
Samsung wydał poprawkę w pakiecie SMR Sep-2025 Release 1. Obejścia nikt nie opublikował, więc telefon bez tej poprawki pozostaje podatny. Poniższe miary tylko ograniczają skutki; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Instalacja pakietu bezpieczeństwa z września 2025 lub nowszego | Wysoka: to właściwa poprawka | Łatwa |
Odcięcie niewspieranego telefonu od poczty firmowej, banku i komunikatorów służbowych | Średnia: ogranicza, co napastnik może zdobyć | Łatwa |
Wymiana telefonu na model z aktualnym wsparciem | Wysoka | Średnia: wymaga budżetu |
Ograniczenie automatycznego pobierania multimediów w komunikatorach | Niska do średniej: może zmniejszyć liczbę dróg dostarczenia pliku, nie usuwa luki | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Telefony służbowe | „Sprzęt osobisty”, bez kontroli | Lista z modelem, użytkownikiem i datą poprawek |
Poprawki bezpieczeństwa | Nieznane | Wrzesień 2025 lub nowsze na wszystkich telefonach |
Telefony bez wsparcia | Używane do poczty i banku | Odcięte od danych firmowych, zaplanowane do wymiany |
Przegląd | Nigdy | Raz na kwartał |
Reakcja na podobne luki | Brak | Wiadomo, kogo i co sprawdzić |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Samsung: otrzymał informację, że exploit istniał i był wykorzystywany. SSVC CISA: atak nieautomatyzowalny, skutek techniczny całkowity |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (NVD, CVSS 3.1); 8.8 WYSOKA (Samsung, CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Zespoły bezpieczeństwa Meta i WhatsApp (zgłoszenie do Samsunga 13 sierpnia 2025) |
Prognoza EPSS | Około 1,9%, niżej niż jedna piąta znanych podatności (wg analizy źródłowej); niska wartość wynika z wybiórczego charakteru ataku, a nie z braku zagrożenia |
Różnica między ocenami NVD i Samsunga sprowadza się do jednego pytania: czy ofiara musi cokolwiek zrobić. Źródła tego nie rozstrzygają, więc planować trzeba według trudniejszego wariantu, w którym jedyną obroną jest aktualizacja.
Sygnały zagrożenia dla CVE-2025-21043
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (Samsung) 8.8/10 █████████████████░░░ WYSOKA
EPSS ~1.9% ░░░░░░░░░░░░░░░░░░░░ atak wybiórczy
Exploit w użyciu TAK ████████████████████ wg Samsunga
CISA KEV TAK ████████████████████ ataki potwierdzone 2025-08-13 Meta i WhatsApp zgłaszają błąd Samsungowi
2025-09 Samsung wydaje pakiet SMR Sep-2025 Release 1 z poprawką
2025-09-12 Publikacja CVE-2025-21043 w NVD
2025-10-02 CISA dodaje lukę do katalogu KEV
2025-10-23 Termin naprawy wg CISA dla agencji federalnych
... prawie rok od poprawki
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta: Samsung Mobile Security, wrzesień 2025 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-21043 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Sprawdzić datę poprawek bezpieczeństwa na własnym telefonie | CTO / CFO / zarząd | DZISIAJ |
2 | Wysłać pracownikom prośbę o sprawdzenie daty poprawek i aktualizację | CTO | DZISIAJ |
3 | Uzyskać listę telefonów służbowych z datami poprawek | CTO | DO JUTRA |
4 | Zdecydować o odcięciu niewspieranych telefonów od poczty i banku | CTO / CFO | DO JUTRA |
5 | Oszacować koszt wymiany niewspieranych telefonów | CFO | DO JUTRA |
6 | Sprawdzić, które telefony służą do autoryzacji przelewów, i potwierdzić ich aktualność | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile telefonów Samsung jest używanych do pracy (także prywatnych z pocztą firmową)? | [liczba] | 🔴 |
2 | Ile z nich ma poprawki starsze niż wrzesień 2025? | [liczba] | 🔴 |
3 | Czy telefony zarządu i działu finansów mają aktualne poprawki? | TAK / NIE | 🔴 |
4 | Które telefony nie dostają już aktualizacji od producenta? | [lista] | 🟠 |
5 | Czy mamy sposób, by zablokować dostęp do poczty firmowej z nieaktualnego telefonu? | TAK / NIE | 🟠 |
6 | Czy prowadzimy listę telefonów służbowych z modelem i datą poprawek? | TAK / NIE | 🟡 |
7 | Kiedy ostatnio ktoś sprawdzał daty poprawek na telefonach? | [data] | 🟡 |
CVE-2025-21043 pozwala przejąć telefon Samsung z Androidem 13 do 16 za pomocą spreparowanego obrazu przetwarzanego automatycznie przez system. Samsung i CISA potwierdzają wykorzystanie, a poprawka jest w pakiecie z września 2025 roku. Niska prognoza EPSS wynika z wybiórczego charakteru ataku, więc zadaniem na dziś jest sprawdzenie daty poprawek na każdym telefonie służbowym, zaczynając od osób z dostępem do finansów.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.