Deserializacja w module AntiCSRF platformy Sitecore pozwala zalogowanemu użytkownikowi wykonać kod na serwerze witryny. CISA potwierdza ataki. Zaktualizuj powyżej 9.1 i uporządkuj konta.
Ten alert jest dla zarządu, CTO i CFO firm, których witryna, sklep lub portal działa na platformie Sitecore (CMS lub Experience Platform). Werdykt: jeśli Sitecore ma wersję 9.1 lub starszą, zaktualizuj go i przejrzyj listę kont dziś, bo posiadacz jednego zwykłego konta może przez tę lukę przejąć serwer, a CISA potwierdza ataki.
Amerykańska agencja CISA 26 marca 2025 roku dopisała podatność CVE-2019-9875 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To stary błąd z 2019 roku w platformie Sitecore.
W module Sitecore.Security.AntiCSRF zawartość parametru __CSRFTOKEN nie była traktowana jak zwykły napis, tylko odtwarzana w pamięci serwera jako gotowy obiekt .NET (deserializacja). Zalogowany napastnik mógł wysłać w tym parametrze spreparowany obiekt i doprowadzić do wykonania własnego kodu na serwerze. Bliźniacza luka CVE-2019-9874 w tym samym module działa nawet bez logowania.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 16 kwietnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2019-9875 (bliźniacza: CVE-2019-9874, bez logowania) |
Data dodania do CISA KEV | 2025-03-26 |
Termin naprawy wg CISA | 2025-04-16 (21 dni od wpisu) |
Produkt | Sitecore CMS oraz Sitecore Experience Platform (XP) |
Wersje zagrożone | Wszystkie wersje do 9.1 włącznie (NVD nie podaje dolnej granicy) |
Wersje bezpieczne | Wersje nowsze niż 9.1, po nałożeniu poprawki producenta (osobny artykuł w bazie wiedzy dla każdej z dwóch luk) |
Typ podatności | Deserializacja niezaufanych danych, prowadząca do wykonania kodu; CWE-502 |
Ocena CVSS | 8.8 WYSOKA (CVSS 3.1) wg NVD i CISA, identyczna; 6.5 ŚREDNIA w starszej skali CVSS 2.0. Atak przez sieć, niska złożoność, wymaga konta, bez udziału innego użytkownika |
Wyobraź sobie firmę, która przyjmuje zamówienia zapisane skrótem, bo tak jest szybciej, a jej system rozwija ten skrót z powrotem w pełne polecenie i od razu je wykonuje. Dopóki skróty przychodzą od znanych klientów, wszystko działa. Gdy przyjdzie skrót wymyślony przez kogoś obcego, system rozwinie go równie posłusznie i wykona to, co w nim ukryto.
Sitecore w podatnej wersji tak właśnie traktował zawartość jednego z pól formularza: zamiast porównać ją jako tekst, odtwarzał ją jako obiekt i wykonywał zawarte w nim instrukcje. Warunkiem jest posiadanie konta, ale w firmowym systemie zarządzania treścią kont po latach zwykle jest znacznie więcej niż osób, które z niego korzystają.
💡 Sitecore CMS/XP to platforma, na której stoją firmowe witryny, sklepy i portale. Deserializacja to odtwarzanie obiektu z przesłanych danych; niebezpieczna, gdy dane mogą pochodzić od obcych. AntiCSRF to moduł chroniący przed podszywaniem się pod zalogowanego użytkownika. Wykonanie kodu to uruchomienie przez napastnika własnego programu na serwerze. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Wysłanie formularza z parametrem __CSRFTOKEN | Serwer sprawdza token jako tekst | Serwer odtwarza obiekt i wykonuje jego instrukcje |
Konto zwykłego redaktora | Pozwala edytować treści | Wystarcza do przejęcia serwera |
Konta byłych pracowników i agencji | Powinny być wyłączone | Często działają i spełniają warunek ataku |
Bliźniacza luka CVE-2019-9874 | Wymaga konta | Działa bez logowania |
Wersja nowsza niż 9.1 z poprawką | Odporna | Atak nie działa |
źródło: Pexels, Victtor DanielPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka wymaga konta, więc napastnik najpierw je zdobywa. CISA oceniła, że atak nie jest automatyzowalny, więc dotyczy wybranych celów.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie konta | Wcześniej | Wykradzione hasło z wycieku, przejęta skrzynka byłego pracownika, zgadnięte hasło konta testowego | Działające konto w Sitecore |
2. Logowanie | T+0 min | Zalogowanie się jako zwykły użytkownik | Dostęp do formularzy z parametrem __CSRFTOKEN |
3. Wykonanie kodu | T+minuty | Wysłanie spreparowanego obiektu .NET w __CSRFTOKEN | Kod napastnika działa na serwerze |
4. Przejęcie strony | T+godziny | Zmiana treści witryny, dostęp do bazy danych | Kontrola nad serwisem i danymi |
5. Kradzież danych | T+godziny do dni | Odczyt danych klientów, zamówień, danych logowania | Wyciek danych |
6. Rozprzestrzenienie | T+dni | Wykorzystanie serwera jako przyczółka do sieci firmy | Szersze włamanie |
Mogę Ci jakoś pomóc?
Witryna na Sitecore to często twarz firmy i miejsce, w którym leżą dane klientów oraz zamówienia. Wymóg konta daje złudne poczucie bezpieczeństwa, bo w praktyce liczba działających kont bywa wielokrotnie większa od liczby aktywnych użytkowników.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Podmiana lub wyłączenie witryny, przestój sklepu lub portalu | Godziny od przejęcia | 20 tys. do 200 tys. PLN (przestój, odbudowa) |
Bezpieczeństwo danych | Wyciek danych klientów, zamówień, danych logowania | Godziny od wejścia | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Utracona sprzedaż, koszty specjalistów, możliwy okup | Dni do tygodni | 50 tys. do 600 tys. PLN łącznie |
Reputacyjny | Złośliwy kod na stronie firmy atakujący klientów, utrata zaufania | Miesiące | 30 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Sitecore <= 9.1
z wieloma nieuporządkowanymi kontami
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest bardzo wysoki (wykonanie kodu na serwerze witryny), a prawdopodobieństwo wysokie, gdy w systemie jest wiele nieuporządkowanych kont; uporządkowanie kont wyraźnie obniża prawdopodobieństwo, bo zmniejsza liczbę „wejść” spełniających warunek ataku.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy witryna firmy działa na Sitecore i jaką ma wersję | Dziś | CTO / agencja utrzymująca witrynę |
2 | 🔴 NATYCHMIAST | Zaplanować aktualizację powyżej 9.1 i nałożenie poprawek dla obu luk (osobne artykuły producenta) | Do 3 dni | Administrator / agencja |
3 | 🔴 NATYCHMIAST | Przejrzeć listę kont w Sitecore i wyłączyć te, przy których nie ma żywej osoby korzystającej z nich w ostatnim kwartale | Dziś | Administrator |
4 | 🟠 PILNIE | Zmienić hasła kont serwisowych i agencji, ustawić konta imienne zamiast wspólnych | Do 7 dni | Administrator |
5 | 🟠 PILNIE | Przejrzeć logi serwera pod kątem nietypowych logowań i żądań z parametrem __CSRFTOKEN od marca 2025 roku | Do 7 dni | Zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Ograniczyć dostęp do panelu administracyjnego Sitecore do sieci firmowej lub VPN | Do 30 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Wprowadzić kwartalny przegląd kont i uwierzytelnianie wieloskładnikowe dla redaktorów | Do 30 dni | CTO |
Producent wydał poprawki (osobne dla obu luk w tym samym module). Do czasu ich nałożenia ryzyko ograniczają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Uporządkowanie i wyłączenie zbędnych kont | Wysoka: zmniejsza liczbę wejść spełniających warunek ataku (nie chroni przed bliźniaczą luką bez logowania) | Średnia |
Ograniczenie dostępu do panelu administracyjnego do sieci firmowej lub VPN | Wysoka wobec napastników z internetu | Średnia |
Uwierzytelnianie wieloskładnikowe dla kont redaktorów | Średnia do wysokiej: utrudnia użycie wykradzionego hasła | Średnia |
Monitorowanie logowań i żądań do panelu | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Obsługa parametru __CSRFTOKEN | Odtwarzany jako obiekt i wykonywany | Poprawione, obie luki załatane |
Liczba kont | Wielokrotnie większa od liczby użytkowników | Uporządkowana, zbędne wyłączone |
Konta agencji i serwisowe | Wspólne, ze stałymi hasłami | Imienne, z nowymi hasłami |
Dostęp do panelu | Z internetu | Z sieci firmowej lub VPN, z MFA |
Widoczność | Brak przeglądu logów | Logi przejrzane od marca 2025 roku |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA ocenia wykorzystanie jako aktywne, z całkowitym wpływem technicznym, ale nieautomatyzowalne |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA wg NVD i CISA (CVSS 3.1); 6.5 w starszej skali CVSS 2.0 |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Kto nadał numer | Organizacja MITRE (nie producent) |
Prognoza EPSS | 0,140 (około 14% szansy próby wykorzystania w 30 dni), górne 4% wszystkich podatności; dla bliźniaczej luki bez logowania wskaźnik jest prawie sześciokrotnie wyższy (wg analizy źródłowej) |
Różnica EPSS między tą luką a bliźniaczą (bez logowania) dobrze pokazuje, ile realnie warte jest wymaganie konta: dużo, ale tylko wtedy, gdy konta są pilnowane. Ważne też: poprawki dla obu luk są osobne, więc nałożenie jednej nie zamyka drugiej.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2019-9875
CVSS 3.1 (NVD, CISA) 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) ~14% ███░░░░░░░░░░░░░░░░░ top 4%
CISA KEV TAK ████████████████████ ataki potwierdzone
Wymaga konta TAK ██████████░░░░░░░░░░ zależy od higieny kont
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2019-05-31 Publikacja CVE-2019-9875 w NVD
2025-03-26 CISA dodaje CVE-2019-9875 i bliźniaczą CVE-2019-9874 do KEV
2025-04-16 Termin naprawy wg CISA dla agencji federalnych
... ponad rok od wpisu do KEV, ponad 6 lat od publikacji
2026-09-17: TUTAJ JESTEŚMY Artykuł producenta z poprawką: Sitecore KB0038556 . Artykuł dla bliźniaczej luki: Sitecore KB0334035 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2019-9875 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy witryna firmy działa na Sitecore i kto ją utrzymuje | CTO | DZISIAJ |
2 | Uzyskać wersję platformy i listę wszystkich kont | CTO | DZISIAJ |
3 | Zatwierdzić wyłączenie zbędnych kont i zmianę haseł kont agencji | CTO | DZISIAJ |
4 | Zatwierdzić plan aktualizacji i nałożenia poprawek dla obu luk | CTO | DO JUTRA |
5 | Sprawdzić w umowie z agencją, kto odpowiada za aktualizacje i konta | CFO | DO JUTRA |
6 | Ustalić, jakie dane klientów przetwarza witryna, na potrzeby ewentualnego zgłoszenia | CFO / inspektor ochrony danych | DO JUTRA |
7 | Zlecić przegląd logów pod kątem śladów ataku | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy nasza witryna działa na Sitecore CMS lub XP? | TAK / NIE | 🔴 |
2 | Jaka jest wersja platformy? | [wersja] | 🔴 |
3 | Ile jest kont w systemie, a ile osób faktycznie z niego korzysta? | [liczby] | 🔴 |
4 | Czy są konta byłych pracowników lub wspólne konta agencji, które nadal działają? | TAK / NIE | 🔴 |
5 | Czy nałożono poprawki dla obu luk (CVE-2019-9875 i CVE-2019-9874)? | TAK / NIE | 🟠 |
6 | Czy panel administracyjny jest dostępny z internetu? | TAK / NIE | 🟠 |
7 | Czy redaktorzy logują się z uwierzytelnianiem wieloskładnikowym? | TAK / NIE | 🟡 |
CVE-2019-9875 pozwala posiadaczowi zwykłego konta w Sitecore wykonać kod na serwerze witryny, a bliźniacza luka działa nawet bez logowania. CISA potwierdza ataki, a poprawki istnieją od dawna, więc aktualizacja powyżej 9.1, nałożenie obu poprawek i uporządkowanie kont to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.