Otwarcie spreparowanego pliku VHD w Windows powodowało przepełnienie pamięci NTFS i uruchamiało kod napastnika. Luka była wykorzystywana przed poprawką. Zainstaluj marcową aktualizację Windows 2025 i ogranicz montowanie obrazów dysków.
Ten alert jest dla zarządu, CTO i CFO każdej firmy z komputerami i serwerami na Windows. Werdykt: jeśli systemy nie mają marcowej aktualizacji Windows z 2025 roku, zainstaluj ją w tym tygodniu, bo otwarcie spreparowanego pliku obrazu dysku (VHD) uruchamia kod na komputerze, a luka była wykorzystywana w atakach jeszcze przed wydaniem poprawki.
Amerykańska agencja CISA 11 marca 2025 roku dopisała podatność CVE-2025-24993 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy systemu plików NTFS w Windows: otwarcie (zamontowanie) specjalnie przygotowanego obrazu dysku VHD powodowało przepełnienie pamięci i pozwalało uruchomić kod napastnika.
Mimo nazwy „Remote Code Execution” atak jest lokalny: „zdalne” odnosi się do położenia napastnika, a nie do przebiegu ataku. Warunkiem jest zamontowanie przez użytkownika złośliwego pliku VHD. Poprawka wyszła 11 marca 2025 roku, a wpis do KEV tego samego dnia oznacza, że luka była wykorzystywana wcześniej. Termin naprawy wyznaczony przez CISA minął 1 kwietnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-24993 |
Data dodania do CISA KEV | 2025-03-11 |
Termin naprawy wg CISA | 2025-04-01 |
Produkt | Microsoft Windows, system plików NTFS (37 wariantów: 32- i 64-bitowe, ARM, serwery, także bez interfejsu graficznego) |
Wersje zagrożone | Wspierane wersje Windows i Windows Server bez marcowej aktualizacji 2025 |
Wersje bezpieczne | Systemy z aktualizacją z marca 2025. Przykłady: Windows Server 2025 i Windows 11 24H2: KB5053598 (lub hotpatch KB5053636); Windows Server 2022: KB5053603 (kompilacja 20348.3328) lub hotpatch KB5053638 (kompilacja 20348.3270); Windows Server 2008 SP2: KB5053888 (zbiorczy) lub KB5053995 (tylko bezpieczeństwo) |
Typ podatności | Przepełnienie bufora na stercie w NTFS, prowadzące do lokalnego wykonania kodu; CWE-122 |
Ocena CVSS | Microsoft: 7.8 (CVSS 3.1, WYSOKA): atak lokalny, bez uprawnień, wymaga zamontowania pliku przez użytkownika, pełny wpływ na poufność, integralność i dostępność |
Plik VHD to pojedynczy plik, który Windows po otwarciu podłącza jak zwykły napęd. Gdy system czyta taki obraz, przygotowuje w pamięci miejsce na dane o rozmiarze wyliczonym z tego, co podaje sam plik. Jeśli plik kłamie i danych jest więcej, nadmiar zapisuje się poza wyznaczonym miejscem, nadpisując to, co leżało obok. To przepełnienie bufora, a przy sprytnym ułożeniu danych pozwala przejąć sterowanie programem.
Dla pracownika wygląda to niewinnie: dostaje „komplet rysunków” albo „archiwum” w pliku VHD, otwiera go jednym kliknięciem, widzi normalne foldery, a w tle uruchamia się kod napastnika. Nie ma okna z pytaniem o zgodę na instalację, bo formalnie nic nie jest instalowane. Ważne: nazwa „zdalne wykonanie kodu” myli. Odcięcie sieci czy zdalnego pulpitu nie pomaga, bo atak jest lokalny i wymaga otwarcia pliku.
💡 NTFS to system plików Windows, zarządzający zapisem danych na dysku. VHD to plik będący obrazem dysku, który Windows podłącza jak napęd. Przepełnienie bufora na stercie to błąd, w którym dane trafiają poza przydzielony obszar pamięci. Hotpatch to poprawka wchodząca bez ponownego uruchomienia komputera.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Otwarcie pliku VHD | System podłącza obraz jako napęd | Spreparowany plik uruchamia kod napastnika |
Nazwa „zdalne wykonanie kodu” | Sugeruje atak przez sieć | Atak jest lokalny, wymaga otwarcia pliku |
Odcięcie sieci lub zdalnego pulpitu | Zwykle ogranicza ataki | Nie pomaga wobec tej luki |
Serwer bez użytkownika przy klawiaturze | Mniej narażony na kliknięcie | Podatny, jeśli plik zamontuje ktoś z kontem |
Skan po aktualizacji hotpatchem | Powinien pokazać „załatany” | Może pokazać „niezałatany” przez niższy numer kompilacji |
źródło: Unsplash, William WarbyPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga, by użytkownik zamontował złośliwy plik VHD, więc zaczyna się od dostarczenia takiego pliku. Na serwerze bez użytkownika lukę może wykorzystać ktoś, kto zdobył już zwykłe konto, jako kolejny stopień ataku.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przynęta | T+0 min | Wysłanie pliku VHD („rysunki”, „archiwum”, „kopia dokumentów”) mailem lub linkiem | Plik u ofiary |
2. Zamontowanie | T+minuty do godzin | Pracownik otwiera plik, Windows podłącza go jako napęd | Uruchomienie podatnego kodu NTFS |
3. Wykonanie kodu | T+sekundy | Przepełnienie bufora przejmuje sterowanie | Kod napastnika działa na komputerze |
4. Utrwalenie | T+minuty | Instalacja narzędzia zdalnego dostępu | Stały dostęp |
5. Kradzież danych | T+godziny do dni | Odczyt plików, haseł, dostęp do udziałów sieciowych | Wyciek danych |
6. Ekspansja | T+dni | Przejście na kolejne komputery i serwery | Szersze włamanie |
Windows jest niemal na każdym komputerze i serwerze, a plik VHD wygląda niewinnie i nie wywołuje ostrzeżenia o instalacji. Poprawka jest darmowa, ale bywa mylnie oceniana z dwóch powodów: nazwa sugeruje atak sieciowy, a hotpatch potrafi pokazać serwer jako niezałatany, choć jest bezpieczny. Luka była używana, zanim powstała łatka.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Reinstalacja przejętych stacji i serwerów, przestój | Dni | 10 tys. do 150 tys. PLN (praca IT, przestój) |
Bezpieczeństwo danych | Wyciek plików, haseł i dostęp do udziałów sieciowych | Godziny od otwarcia pliku | 20 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, skutki dalszego włamania | Dni do tygodni | 20 tys. do 400 tys. PLN |
Reputacyjny | Wyciek dokumentacji lub danych klientów | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekną dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Windows bez marcowej poprawki 2025
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełna kontrola nad komputerem po otwarciu pliku), a prawdopodobieństwo wysokie, bo luka była wykorzystywana przed poprawką; ogranicza je to, że potrzebne jest zamontowanie pliku przez użytkownika, dlatego liczy się aktualizacja i ograniczenie montowania obrazów dysków.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, które komputery i serwery nie mają marcowej aktualizacji Windows z 2025 roku | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Zainstalować brakujące aktualizacje, zaczynając od stacji odbierających pocztę | Dziś | Administrator IT |
3 | 🔴 NATYCHMIAST | Przy sprawdzaniu skanerem uwzględnić hotpatch: niższy numer kompilacji nie znaczy „niezałatany” | Dziś | Administrator IT |
4 | 🟠 PILNIE | Ograniczyć możliwość montowania obrazów dysków (VHD) przez zwykłych użytkowników, jeśli nie jest potrzebna | Do 7 dni | Administrator IT |
5 | 🟠 PILNIE | Zablokować lub skanować pliki VHD w poczcie, jeśli firma ich nie wymienia | Do 7 dni | Administrator poczty |
6 | 🟡 WAŻNIE | Sprawdzić starsze serwery (2008-2012): czy zainstalowano właściwy pakiet (zbiorczy lub „tylko bezpieczeństwo”) | Do 14 dni | Administrator serwerów |
7 | 🟡 WAŻNIE | Włączyć automatyczne instalowanie krytycznych aktualizacji Windows | Do 30 dni | Administrator IT |
Microsoft wydał poprawki dla wszystkich wspieranych systemów i nie podał obejścia w postaci ustawienia, więc aktualizacja jest podstawą. Poniższe miary tylko zmniejszają ryzyko. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie montowania obrazów dysków przez zwykłych użytkowników | Wysoka: usuwa najczęstszą drogę ataku | Średnia |
Blokada plików VHD w poczcie i skanowanie załączników | Średnia do wysokiej | Średnia |
Praca na kontach bez uprawnień administratora | Średnia: ogranicza skutki | Łatwa |
Szkolenie: nie otwierać plików obrazów dysków z niespodziewanych wiadomości | Średnia: zależy od czujności | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Otwarcie złośliwego pliku VHD | Uruchamia kod napastnika | Nie prowadzi do wykonania kodu |
Aktualizacja | Sprzed marca 2025 | Marcowa poprawka (zwykła lub hotpatch) |
Ocena skanera | „Niezałatany” mimo hotpatcha | Zweryfikowana po numerze KB, nie tylko kompilacji |
Montowanie obrazów dysków | Dostępne dla każdego | Ograniczone tam, gdzie niepotrzebne |
Stare serwery | Niepewny wybór pakietu | Potwierdzony właściwy pakiet |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); dodana do KEV w dniu publikacji poprawki, co wskazuje na wcześniejsze ataki |
Grupy przestępcze | Brak publicznych informacji w źródłach powiązanych z wpisem KEV |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA wg Microsoftu (CVSS 3.1) |
PoC dostępny publicznie? | Brak jednoznacznej informacji w analizowanych źródłach; przed poprawką luka nie była publicznie znana, lecz już wykorzystywana |
Liczba atakowanych firm | Brak publicznych informacji |
Powiązana luka | Druga luka NTFS załatana tego samego dnia pozwalała ujawnić fragmenty pamięci (nie wykonać kodu) |
Obejście | Brak w biuletynie; jedyna droga to aktualizacja |
Microsoft nazywa błąd „zdalnym wykonaniem kodu”, a CISA „przepełnieniem bufora na stercie w NTFS”. To ten sam numer CVE opisany od strony skutku i od strony mechanizmu. W rozmowie z audytorem lub dostawcą używaj numeru CVE, nie nazwy.
Sygnały zagrożenia dla CVE-2025-24993
CVSS 3.1 (Microsoft) 7.8/10 ████████████████░░░░ WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Luka dnia zerowego TAK ████████████████████ używana przed poprawką
Obejście BRAK ░░░░░░░░░░░░░░░░░░░░ tylko aktualizacja
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-03-11 Microsoft wydaje poprawkę; publikacja CVE;
CISA dodaje lukę do katalogu KEV (jedna z 6 tego dnia)
2025-04-01 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Dokument Microsoftu z aktualizacjami: msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-24993 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-24993 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić raport: które komputery i serwery nie mają marcowej aktualizacji 2025 | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową instalację brakujących aktualizacji | CTO | DZISIAJ |
3 | Poprosić IT o weryfikację, czy „czerwone” pozycje ze skanera to naprawdę braki, czy hotpatch | CTO | DZISIAJ |
4 | Zdecydować o ograniczeniu montowania plików VHD przez pracowników | CTO | DO JUTRA |
5 | Przypomnieć pracownikom, by nie otwierali plików obrazów dysków z niespodziewanych wiadomości | CTO | DO JUTRA |
6 | Sprawdzić, czy stare serwery mają właściwy pakiet aktualizacji | CTO | DO JUTRA |
7 | Sprawdzić, czy narzędzie do aktualizacji obejmuje wszystkie komputery, także rzadko włączane | CFO / CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Które komputery i serwery nie mają marcowej aktualizacji Windows 2025? | [lista lub liczba] | 🔴 |
2 | Jaki jest numer kompilacji na najstarszym niezaktualizowanym systemie? | [wersja] | 🔴 |
3 | Czy przy skanie uwzględniamy hotpatch (niższy numer kompilacji, a system załatany)? | TAK / NIE | 🔴 |
4 | Czy zwykli użytkownicy mogą montować pliki VHD? | TAK / NIE | 🟠 |
5 | Czy poczta blokuje lub skanuje pliki VHD? | TAK / NIE | 🟠 |
6 | Czy stare serwery (2008-2012) mają właściwy pakiet aktualizacji? | TAK / NIE | 🟠 |
7 | Czy pracownicy pracują na kontach bez uprawnień administratora? | TAK / NIE | 🟡 |
CVE-2025-24993 pozwala uruchomić kod na komputerze po otwarciu spreparowanego pliku obrazu dysku VHD, a luka była wykorzystywana, zanim Microsoft wydał poprawkę w marcu 2025 roku. Termin CISA minął 1 kwietnia 2025 roku, więc instalacja marcowej aktualizacji, uwzględnienie hotpatcha przy skanach i ograniczenie montowania obrazów dysków to zadania na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.