Usługa archiwizacji wiadomości TeleMessage trzymała w pamięci hasła przesłane nieszyfrowanym HTTP, a zrzut tej pamięci dało się pobrać. Ataki potwierdzone w maju 2025. Zmień hasła i oceń, czy dalej używać usługi.
Ten alert jest dla zarządu, CTO i CFO firm, które korzystają lub korzystały z usług TeleMessage (m.in. aplikacji TM SGNL do archiwizacji służbowych wiadomości) albo z innych hostowanych usług archiwizacji komunikacji. Werdykt: jeśli Twoja firma używała TeleMessage, zmień dziś hasła do tej usługi i wszędzie tam, gdzie je powtórzono, a następnie zdecyduj, czy dalej z niej korzystać, bo producent nie opublikował wersji z poprawką, a CISA zaleca w takiej sytuacji zaprzestanie używania.
Amerykańska agencja CISA 1 lipca 2025 roku dopisała podatność CVE-2025-48928 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Tego samego dnia trafiła tam druga luka w tym samym produkcie (CVE-2025-48927), opisująca publicznie dostępny adres /heapdump. Wcześniej, 12 maja 2025 roku, CISA dopisała CVE-2025-47729: serwer archiwum przechowywał kopie wiadomości użytkowników w postaci niezaszyfrowanej.
TeleMessage to hostowana usługa (w NVD przypisana do firmy Smarsh) zbudowana w technologii JSP. Zawartość pamięci aplikacji odpowiadała zrzutowi pamięci, w którym znajdowały się hasła przesłane wcześniej nieszyfrowanym protokołem HTTP. Według opisu w NVD luka była wykorzystywana w maju 2025 roku. Magazyn Wired opisał, że osoba atakująca pobrała ze strony zrzut pamięci o wielkości około 150 MB i znalazła w nim loginy i hasła użytkowników.
Termin naprawy wyznaczony przez CISA minął 22 lipca 2025 roku, ponad rok temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-48928 |
Data dodania do CISA KEV | 2025-07-01 |
Termin naprawy wg CISA | 2025-07-22 (21 dni od wpisu) |
Produkt | TeleMessage TM SGNL (usługa archiwizacji wiadomości, hostowana przez dostawcę; NVD: Smarsh TeleMessage) |
Wersje zagrożone | Usługa TeleMessage w stanie do 5 maja 2025 roku (rejestry podają datę zamiast numeru wersji) |
Wersje bezpieczne | Producent nie opublikował informacji o wersji z poprawką; brak biuletynu producenta w rejestrach. Wg Wired TeleMessage czasowo zawiesił wszystkie usługi po incydencie |
Typ podatności | Ujawnienie zrzutu pamięci z hasłami. MITRE i CISA: CWE-528 (ujawnienie pliku zrzutu pamięci); NVD: CWE-552 (pliki dostępne dla stron zewnętrznych) |
Ocena CVSS | 4.0 ŚREDNIA (CVSS 3.1, MITRE; NVD nie wystawił własnej). Wektor zakłada dostęp lokalny, co słabo pasuje do usługi hostowanej; wpływ tylko na poufność |
Wyobraź sobie recepcję, w której każdy gość podaje hasło do sejfu, a recepcjonista zapisuje je na karteczce, żeby sprawdzić w spisie. Po sprawdzeniu nie niszczy karteczki, tylko odkłada ją na tablicę korkową. Tablica wisi w holu, a ktoś może zrobić jej zdjęcie. Na zdjęciu są hasła wszystkich gości z ostatnich godzin.
Tak działała ta luka. Serwer musi na chwilę mieć hasło w pamięci, żeby je sprawdzić, ale pamięć nie jest wycierana po użyciu. Hasła przesłane nieszyfrowanym połączeniem leżały w pamięci w czytelnej postaci, a kopię tej pamięci dało się pobrać z publicznego adresu. Jedno wydobyte hasło otwiera nie tylko tę usługę, ale każde miejsce, gdzie użytkownik ustawił to samo hasło.
💡 Zrzut pamięci (heap dump, core dump) to kopia tego, co program ma w danej chwili w pamięci roboczej, w tym haseł i wiadomości. HTTP to połączenie nieszyfrowane, HTTPS szyfrowane. Usługa hostowana działa u dostawcy, klient nie instaluje jej u siebie i nie może jej sam zaktualizować. Menedżer haseł to program, który tworzy i pamięta osobne, silne hasło do każdej usługi.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Użytkownik loguje się do usługi | Hasło przesłane szyfrowanym połączeniem, po sprawdzeniu nieistotne | Hasło przesłane przez HTTP zostaje w pamięci w czytelnej postaci |
Pamięć serwera | Niedostępna z zewnątrz | Zrzut pamięci do pobrania z publicznego adresu |
Hasło użyte w kilku usługach | Ryzyko ukryte | Jedno wydobyte hasło otwiera kolejne konta |
Archiwum służbowych wiadomości | Chronione | Wg CVE-2025-47729 kopie wiadomości przechowywane bez szyfrowania |
Aktualizacja po stronie klienta | Możliwa | Niemożliwa: usługa hostowana, brak informacji o poprawce |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności, zgodny z opisem incydentu w Wired. To scenariusz poglądowy, a nie dokładne odtworzenie zdarzeń. CISA ocenia atak jako nieautomatyzowalny, ze skutkiem częściowym (wyciek danych, a nie przejęcie serwera).
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Przeszukanie domen usługi narzędziem wyszukującym publiczne zasoby | Znaleziony adres |
2. Pobranie zrzutu | T+kilka minut | Pobranie zrzutu pamięci aplikacji (ok. 150 MB wg Wired) | Kopia pamięci serwera |
3. Wyszukanie haseł | T+kilkanaście minut | Przeszukanie zrzutu pod kątem słowa „password” | Loginy i hasła użytkowników |
4. Logowanie | T+20 min | Logowanie do panelu usługi wykradzionymi danymi | Dostęp do kont klientów |
5. Kradzież | T+godziny | Odczyt archiwum wiadomości i danych kontaktowych | Wyciek korespondencji służbowej |
6. Skutek | T+dni do tygodni | Próby logowania tym samym hasłem do innych usług firmy | Przejęcie kolejnych kont |
Mogę Ci jakoś pomóc?
Usługi hostowane nie dają klientowi możliwości samodzielnej aktualizacji. Jeśli dostawca nie publikuje biuletynów, firma nie wie, czy problem usunięto. Wyciek haseł jest groźny przede wszystkim tam, gdzie te same hasła powtarzają się w innych systemach.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zmiana haseł w wielu usługach, ewentualna migracja archiwum do innego dostawcy | Dni do tygodni | 10 tys. do 80 tys. PLN |
Bezpieczeństwo danych | Wyciek archiwum wiadomości, danych kontaktowych i haseł | Już mogło nastąpić | 20 tys. do 150 tys. PLN (analiza, powiadomienia) |
Finansowy | Przejęcie kont z powtórzonym hasłem, koszty zmiany dostawcy | Tygodnie | 10 tys. do 200 tys. PLN |
Reputacyjny | Ujawnienie służbowej korespondencji zarządu | Miesiące | 30 tys. do 300 tys. PLN |
Prawny | Wyciek danych osobowych: zgłoszenie do UODO w 72 godziny od stwierdzenia; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności); obowiązki archiwizacji wymagają zaufanego dostawcy | 72 godziny od wykrycia | 20 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firm korzystających z TeleMessage
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki mimo oceny CVSS 4.0, bo dotyczy haseł i archiwum służbowych wiadomości, a przy powtórzonych hasłach otwiera inne systemy; prawdopodobieństwo średnie, bo luka dotyczy jednej konkretnej usługi, a EPSS jest niski, choć wykorzystanie w przeszłości jest potwierdzone.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma lub jej pracownicy korzystali z TeleMessage (TM SGNL lub innych aplikacji archiwizujących tego dostawcy) | Dziś | CTO / dział zgodności |
2 | 🔴 NATYCHMIAST | Zmienić hasła do usługi TeleMessage | Dziś | Użytkownicy / administrator |
3 | 🔴 NATYCHMIAST | Zmienić hasła wszędzie tam, gdzie powtórzono hasło z TeleMessage | Dziś | Użytkownicy / dział IT |
4 | 🟠 PILNIE | Zażądać od dostawcy pisemnej informacji: co naprawiono, kiedy i czy dane firmy zostały ujawnione | Do 3 dni | CTO / dział prawny |
5 | 🟠 PILNIE | Jeśli dostawca nie przedstawi takiej informacji: zaprzestać używania usługi (zalecenie CISA) i zaplanować migrację | Do 7 dni | Zarząd / CTO |
6 | 🟠 PILNIE | Ocenić, czy doszło do naruszenia ochrony danych osobowych i czy wymagane jest zgłoszenie | Do 3 dni od ustalenia | Inspektor ochrony danych |
7 | 🟡 WAŻNIE | Wdrożyć menedżer haseł i MFA we wszystkich usługach zewnętrznych | Do 30 dni | CTO |
To usługa hostowana i klient nie może jej sam naprawić. W rejestrach nie ma biuletynu producenta z poprawką, a CISA zaleca: zastosować wskazówki producenta, jeśli istnieją, a jeśli nie, przestać używać produktu. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zaprzestanie używania usługi do czasu pisemnej informacji od dostawcy (zalecenie CISA) | Wysoka | Średnia: trzeba zapewnić zastępczą archiwizację |
Unikalne hasła w każdej usłudze (menedżer haseł) | Wysoka wobec skutków wycieku | Łatwa |
MFA w usługach, które je oferują | Wysoka wobec użycia wykradzionych haseł | Łatwa |
Sprawdzanie, czy logowanie działa tylko przez HTTPS | Niska jako ochrona po fakcie, przydatna przy wyborze dostawcy | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Hasła do TeleMessage | Potencjalnie wykradzione | Zmienione |
Powtórzone hasła w innych usługach | Otwarte dla napastnika | Zmienione na unikalne |
Wiedza o stanie usługi | „Chyba naprawili” | Pisemna informacja dostawcy lub decyzja o rezygnacji |
Logowanie do usług zewnętrznych | Tylko hasło | Hasło z menedżera i MFA |
Zgodność z zaleceniem CISA | Zaległość od 22 lipca 2025 | Usługa zabezpieczona lub wycofana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); wg NVD wykorzystana w maju 2025 roku |
Grupy przestępcze | Brak publicznych informacji o grupach; Wired opisał działanie pojedynczej osoby, która przekazała informacje dziennikarzom |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 4.0 ŚREDNIA (CVSS 3.1, MITRE) |
PoC dostępny publicznie? | Sposób ataku (pobranie |
Liczba atakowanych firm | Brak publicznych informacji; Wired opisał m.in. dostęp do konta powiązanego z amerykańską agencją CBP, która potwierdziła, że była klientem |
Powiązane luki w KEV | CVE-2025-48927 (publiczny adres |
Prognoza EPSS | Około 0,5% (wg analizy źródłowej); model patrzy w przyszłość, nie na przeszłe ataki |
Inne rejestry | Europejska baza ENISA: EUVD-2025-16214 (data „początku wykorzystania” to w praktyce data wpisu do KEV) |
Sygnały zagrożenia dla CVE-2025-48928
CVSS 3.1 (MITRE) 4.0/10 ████████░░░░░░░░░░░░ ŚREDNIA
CISA KEV TAK ████████████████████ ataki potwierdzone
Poprawka producenta BRAK ░░░░░░░░░░░░░░░░░░░░ brak biuletynu
Powiązane luki w KEV 3 ████████████████████ cały produkt
EPSS (wg źródła) ~0,5% ░░░░░░░░░░░░░░░░░░░░ NISKA
Mogę Ci jakoś pomóc?
2025-05 Ataki na usługę TeleMessage (wg NVD)
2025-05-05 Granica zakresu podatnego w rejestrach
2025-05-12 CISA dodaje CVE-2025-47729 (niezaszyfrowane archiwum) do KEV
2025-05-28 Publikacja CVE-2025-48928 (NVD)
2025-07-01 CISA dodaje CVE-2025-48928 i CVE-2025-48927 do KEV
2025-07-22 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Producent nie opublikował biuletynu z poprawką. Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-48928 . Opis incydentu: Wired, How the Signal Knock-Off App TeleMessage Got Hacked in 20 Minutes . Wpis w katalogu CISA: CISA KEV .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma korzysta lub korzystała z TeleMessage | CTO | DZISIAJ |
2 | Zlecić zmianę haseł do usługi i wszystkich miejsc, gdzie je powtórzono | CTO | DZISIAJ |
3 | Wysłać do dostawcy pisemne zapytanie o stan usługi i ewentualne ujawnienie danych firmy | CTO | DO JUTRA |
4 | Zlecić ocenę, czy wymagane jest zgłoszenie naruszenia do UODO | CTO | DO JUTRA |
5 | Przejrzeć umowę z dostawcą: obowiązki informacyjne, odpowiedzialność, możliwość wypowiedzenia | CFO | DO JUTRA |
6 | Zarezerwować budżet na alternatywną usługę archiwizacji wiadomości | CFO | DO JUTRA |
7 | Zatwierdzić wdrożenie menedżera haseł i MFA w usługach zewnętrznych | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy ktokolwiek w firmie używa TeleMessage lub TM SGNL? | TAK / NIE | 🔴 |
2 | Kiedy zmieniono hasła do tej usługi? | [data] | 🔴 |
3 | Czy hasła z TeleMessage były używane w innych systemach firmy? | TAK / NIE | 🔴 |
4 | Czy dostawca przekazał pisemną informację o naprawie i ewentualnym wycieku? | TAK / NIE | 🟠 |
5 | Jakie dane i wiadomości firmy były przechowywane w archiwum usługi? | [zakres] | 🟠 |
6 | Czy mamy zastępczą usługę archiwizacji, jeśli zrezygnujemy z TeleMessage? | TAK / NIE | 🟡 |
7 | Ile usług zewnętrznych ma włączone MFA? | [liczba] | 🟡 |
CVE-2025-48928 to wyciek haseł ze zrzutu pamięci usługi TeleMessage, wykorzystany w maju 2025 roku, powiązany z dwiema innymi lukami tego produktu w katalogu CISA. Producent nie opublikował informacji o poprawce, a usługa jest hostowana, więc klient nie może jej sam naprawić. Zmiana haseł, likwidacja powtórzonych haseł i pisemne wyjaśnienia od dostawcy, a w razie ich braku rezygnacja z usługi, to rozsądna kolejność działań.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.