Przepełnienie bufora w MRLG starszym niż 5.5.0 pozwala bez hasła przejąć serwer z publiczną stroną diagnostyki tras. CISA potwierdza ataki. Wyłącz lub ogranicz stronę, zaktualizuj i odseparuj serwer.
Ten alert jest dla zarządu, CTO i CFO operatorów internetu, firm hostingowych i działów sieciowych, które udostępniają publiczną stronę typu „looking glass” do diagnozy tras w sieci. Werdykt: jeśli na którymkolwiek serwerze działa Multi-Router Looking Glass (MRLG) w wersji starszej niż 5.5.0, dziś wyłącz go lub odetnij od internetu, a potem zaktualizuj albo zastąp, bo luka pozwala przejąć serwer bez hasła i bez niczyjego kliknięcia.
Amerykańska agencja CISA 7 lipca 2025 roku dopisała podatność CVE-2014-3931 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w pliku fastping.c programu MRLG, który obsługuje publiczną stronę do sprawdzania tras i dostępności adresów w sieci operatora. Zdalny napastnik może zapisać dane w dowolnym miejscu pamięci programu i ją uszkodzić.
To program niszowy, spoza popularnych dystrybucji Linuksa, więc automatyczne aktualizacje systemu nigdy nie dostarczą poprawki. Numer pochodzi z 2014 roku, rekord w NVD opublikowano w 2017 roku, a potwierdzenie ataków przyszło w 2025 roku. Termin naprawy wg CISA minął 28 lipca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2014-3931 (w europejskiej bazie ENISA: EUVD-2014-3868) |
Data dodania do CISA KEV | 2025-07-07 |
Termin naprawy wg CISA | 2025-07-28 (21 dni od wpisu) |
Produkt | Multi-Router Looking Glass (MRLG), program do publicznych stron diagnostyki tras sieciowych |
Wersje zagrożone | MRLG starsze niż 5.5.0 (lista wersji w NVD: do 5.4.1 włącznie); podatny jest moduł sprawdzania dostępności adresów (fastping.c) |
Wersje bezpieczne | MRLG 5.5.0 i nowsze; informacji o najnowszym wydaniu należy szukać na stronie projektu mrlg.op-sec.us |
Typ podatności | Przepełnienie bufora prowadzące do dowolnego zapisu w pamięci; CWE-119 |
Ocena CVSS | NVD i CISA: 9.8 (CVSS 3.1, KRYTYCZNA). NVD: 7.5 (CVSS 2.0, WYSOKA). Atak przez sieć, bez uprawnień i bez udziału użytkownika |
Wyobraź sobie biuro informacji na dworcu, gdzie każdy przechodzień może podać nazwę miejscowości, a pracownik sprawdza na mapie trasę i odczytuje ją na głos. Okienko musi być otwarte dla wszystkich, bo inaczej nie spełnia swojej roli. Pracownik ma jednak kartkę o ograniczonej wielkości na zapisanie odpowiedzi. Gdy ktoś poda „nazwę” długą i spreparowaną w odpowiedni sposób, tekst wychodzi poza kartkę i nadpisuje instrukcje leżące obok, a pracownik zaczyna wykonywać polecenia oszusta.
Tak działa ta luka. Strona „looking glass” przyjmuje adres wpisany przez dowolną osobę z internetu i uruchamia na jego podstawie sprawdzenie w sieci. Wadliwy moduł fastping.c nie pilnował granic pamięci, więc spreparowane dane mogły trafić tam, gdzie nie powinny. Nikt w firmie nie musi niczego klikać: wystarczy, że strona działa i odpowiada.
💡 Looking glass to publiczna strona operatora sieci, która pozwala każdemu sprawdzić trasę pakietów lub dostępność adresu z perspektywy tej sieci. Przepełnienie bufora to zapis danych poza zarezerwowanym obszarem pamięci, który może nadpisać instrukcje programu. Pakiet dystrybucji to program dostarczany i aktualizowany razem z systemem Linux; MRLG nim nie jest. KEV to katalog CISA z lukami potwierdzonymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Ktoś z internetu sprawdza trasę do adresu | Dostaje wynik diagnostyki | Może wysłać dane, które uszkodzą pamięć programu |
Szkolenia pracowników z phishingu | Zmniejszają ryzyko większości ataków | Nie mają znaczenia, nikt nie musi nic kliknąć |
Automatyczne aktualizacje systemu | Łatają zainstalowane pakiety | Nie wiedzą o MRLG i go nie aktualizują |
Serwer ze stroną i narzędziami administracyjnymi | Chroniony przez uprawnienia | Przejęcie strony może otworzyć drogę do kluczy i haseł |
Filtr raportu „tylko luki z ostatnich lat” | Porządkuje listę zadań | Pomija lukę z numerem z 2014 roku |
źródło: Pexels, cottonbro studioPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Strona looking glass jest z założenia dostępna z internetu, więc atak nie wymaga konta, hasła ani udziału użytkownika. Wystarczy, że podatna wersja MRLG odpowiada na zapytania.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wyszukiwanie | T+0 min | Automatyczne wyszukiwanie publicznych stron MRLG i ustalanie wersji | Lista podatnych serwerów |
2. Spreparowane zapytanie | T+minuty | Wysłanie danych wywołujących dowolny zapis w pamięci modułu fastping | Uszkodzenie pamięci programu |
3. Wykonanie kodu | T+minuty | Wykorzystanie uszkodzenia do uruchomienia własnych poleceń | Kontrola nad procesem na serwerze |
4. Kradzież dostępów | T+godziny | Odczyt haseł i kluczy do routerów i innych serwerów przechowywanych na maszynie | Dostęp do infrastruktury sieciowej |
5. Rozszerzenie ataku | T+dni | Logowanie do urządzeń sieciowych i systemów klientów | Kontrola nad częścią sieci operatora |
6. Nadużycie | T+tygodnie | Kradzież danych, przekierowanie ruchu, wykorzystanie serwera do dalszych ataków | Incydent dotykający wielu klientów |
Usługa looking glass musi być dostępna dla wszystkich, więc zabezpieczenie „nie pokazujmy jej obcym” z definicji nie działa. Serwer z taką stroną często stoi blisko serca sieci operatora i ma dostęp do urządzeń, które obsługują ruch wszystkich klientów. Przejęcie go oznacza nie jeden odtworzony serwer, tylko potencjalny obowiązek powiadomienia wielu klientów.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęty serwer, konieczność przeglądu routerów i wymiany dostępów | Dni | 20 tys. do 200 tys. PLN (odtworzenie, przegląd infrastruktury) |
Bezpieczeństwo danych | Kradzież haseł i kluczy administracyjnych, możliwy dostęp do ruchu klientów | Godziny do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, wymiana kluczy) |
Finansowy | Koszty incydentu, kary umowne wobec klientów, awarie usług | Tygodnie | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów usług sieciowych i hostingowych | Miesiące | 100 tys. do 1 mln PLN (odejścia klientów) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i powiadomienia klientów; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; dla części operatorów także obowiązki sprawozdawcze z przepisów o cyberbezpieczeństwie | 72 godziny od wykrycia | 20 tys. do 200 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla publicznej strony MRLG
w wersji starszej niż 5.5.0
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (przejęcie serwera bez hasła, często z dostępem do infrastruktury sieciowej), a prawdopodobieństwo wysokie, bo CISA potwierdza ataki, a EPSS rośnie; nie jest maksymalne, bo MRLG to program niszowy, a firmy, które go nie używają, są poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy na którymkolwiek serwerze działa MRLG lub inna publiczna strona looking glass, i ustalić wersję | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Wyłączyć MRLG starsze niż 5.5.0 albo ograniczyć dostęp do strony do zaufanych adresów | Dziś | Administrator sieci |
3 | 🟠 PILNIE | Zaktualizować MRLG do 5.5.0 lub nowszej albo zastąpić je utrzymywanym rozwiązaniem | Do 3 dni | Administrator sieci |
4 | 🟠 PILNIE | Przenieść stronę na osobną maszynę bez haseł i kluczy do routerów i bez dostępu do sieci zarządzania | Do 7 dni | Administrator sieci |
5 | 🟠 PILNIE | Przejrzeć logi serwera i konta, a przy podejrzeniu włamania wymienić klucze i hasła do urządzeń sieciowych | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Założyć spis oprogramowania instalowanego poza pakietami systemu: nazwa, wersja, data, kto instalował | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Sortować raporty podatności po dacie wpisu do KEV, a nie po roku w numerze CVE | Do 30 dni | CTO |
Poprawiona wersja MRLG 5.5.0 jest dostępna na stronie projektu. Program nie trafi do aktualizacji systemu, więc trzeba go zaktualizować ręcznie. CISA zaleca zaprzestanie używania produktu, jeśli nie da się zastosować zaleceń. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie strony looking glass do czasu aktualizacji | Wysoka: usuwa zagrożenie | Łatwa, ale klienci tracą narzędzie diagnostyczne |
Dostęp do strony tylko z określonych adresów (partnerzy, własny zespół) | Średnia do wysokiej | Łatwa |
Osobna maszyna bez dostępów do infrastruktury | Średnia: ogranicza skutki, nie blokuje ataku | Średnia |
Wyłączenie funkcji sprawdzania dostępności (ping), jeśli konfiguracja na to pozwala | Średnia: ocena ekspercka, zależy od wdrożenia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja MRLG | Starsza niż 5.5.0, często nieznana | 5.5.0 lub nowsza albo program wycofany |
Dostęp do strony | Cały internet | Ograniczony lub strona na izolowanej maszynie |
Klucze do routerów na tym serwerze | Obecne | Usunięte, wymienione |
Spis oprogramowania spoza pakietów | Brak | Prowadzony i aktualizowany |
Zgodność z terminem CISA | Zaległość sprzed prawie 14 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8/10 KRYTYCZNA (CVSS 3.1, NVD i CISA); 7.5 WYSOKA (CVSS 2.0, NVD) |
PoC dostępny publicznie? | NVD oznacza raport w serwisie HackerOne jako materiał z exploitem |
Liczba atakowanych firm | Brak publicznych informacji |
Rejestry dystrybucji Linux | Debian: nie dotyczy pakietów; Ubuntu: brak oprogramowania w dystrybucji; Red Hat: brak rekordu |
Prognoza EPSS | Ok. 29% szansy próby wykorzystania w ciągu 30 dni, górne 2% luk, wzrost z ok. 27% w miesiąc (odczyt z 24.08.2026, wg analizy źródłowej) |
Uwaga dla działu IT: stara skala CVSS 2.0 daje tej luce 7.5, nowa 9.8. Raport lub skaner korzystający ze starej skali może zepchnąć ją w dół listy.
Sygnały zagrożenia dla CVE-2014-3931
CVSS 3.1 (NVD, CISA) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 2.0 (NVD) 7.5/10 ███████████████░░░░░ WYSOKA
EPSS (próba w 30 dni) ~29% ██████░░░░░░░░░░░░░░ rosnąca, górne 2%
CISA KEV TAK ████████████████████ ataki potwierdzone
Aktualizacja z systemu NIE ░░░░░░░░░░░░░░░░░░░░ tylko ręcznie 2014 Rezerwacja identyfikatora CVE-2014-3931
2017-03-31 Publikacja rekordu w NVD
2025-07-07 CISA dodaje lukę do katalogu KEV (komunikat z 4 pozycjami)
2025-07-28 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-08-24 EPSS ok. 29%, luka nadal w katalogu KEV
2026-09-17: TUTAJ JESTEŚMY Strona projektu MRLG: mrlg.op-sec.us . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2014-3931 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy firma udostępnia publiczną stronę looking glass i na jakim oprogramowaniu | CTO | DZISIAJ |
2 | Zatwierdzić wyłączenie lub ograniczenie dostępu do MRLG starszego niż 5.5.0 | CTO | DZISIAJ |
3 | Uzyskać potwierdzenie, czy na tym serwerze są hasła lub klucze do routerów | CTO | DO JUTRA |
4 | Zlecić aktualizację lub zastąpienie MRLG | CTO | DO JUTRA |
5 | Zlecić przegląd logów serwera od lipca 2025 roku | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową i wymianę kluczy, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić obowiązki powiadamiania klientów w umowach i przepisach | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy na którymkolwiek serwerze działa MRLG? | TAK / NIE | 🔴 |
2 | Jaka jest wersja MRLG? | [wersja] | 🔴 |
3 | Czy strona jest dostępna z całego internetu? | TAK / NIE | 🔴 |
4 | Czy serwer ze stroną przechowuje hasła lub klucze do routerów? | TAK / NIE | 🟠 |
5 | Kiedy przejrzano logi tego serwera? | [data] | 🟠 |
6 | Czy mamy spis oprogramowania instalowanego poza pakietami systemu? | TAK / NIE | 🟠 |
7 | Czy raporty podatności sortujemy po dacie wpisu do KEV? | TAK / NIE | 🟡 |
CVE-2014-3931 pozwala bez hasła i bez udziału użytkownika przejąć serwer z publiczną stroną Multi-Router Looking Glass w wersji starszej niż 5.5.0. CISA potwierdza ataki, a poprawka nie przyjdzie z aktualizacjami systemu, więc dziś trzeba sprawdzić, czy taki program działa w firmie, wyłączyć lub ograniczyć go, a następnie zaktualizować i odseparować od narzędzi zarządzania siecią.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.