Błąd w warstwie HID jądra Linux pozwala podstawionym urządzeniem odczytać pamięć jądra i ułatwia kolejne ataki, także na Androida i sprzęt Siemens. CISA potwierdza wykorzystanie. Zaktualizuj jądro i telefony.
Ten alert jest dla zarządu, CTO i CFO firm, które używają serwerów i komputerów z Linuksem, telefonów z Androidem lub przemysłowych urządzeń sieciowych Siemens (SCALANCE, RUGGEDCOM, SIMATIC). Werdykt: jeśli system nie ma poprawek jądra z końca 2024 roku (lub telefon z Androidem nie ma poziomu zabezpieczeń z 1 marca 2025 roku lub nowszego), zaplanuj aktualizację w tym tygodniu, bo luka pozwala podstawionym urządzeniem USB wyciągać dane z pamięci jądra i była wykorzystywana w celowanych atakach.
Amerykańska agencja CISA 4 marca 2025 roku dopisała podatność CVE-2024-50302 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w warstwie HID jądra Linux, obsługującej klawiatury, myszy, czytniki kodów i podobne urządzenia. Bufor na dane z takich urządzeń nie był czyszczony, więc spreparowane urządzenie mogło odczytać resztki pamięci jądra.
Sam wyciek nie daje władzy nad maszyną, ale pomaga ominąć zabezpieczenia i skutecznie wykorzystać kolejną lukę. Google w biuletynie Androida z marca 2025 roku wskazał na „ograniczone, celowane wykorzystanie”. Termin naprawy wyznaczony przez CISA agencjom federalnym minął 25 marca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-50302 |
Data dodania do CISA KEV | 2025-03-04 |
Termin naprawy wg CISA | 2025-03-25 |
Produkt | Jądro Linux (warstwa HID); wg NVD także Android, Debian 11 oraz urządzenia Siemens SCALANCE, RUGGEDCOM, SIMATIC S7-1500 TM MFP i system SINEC OS poniżej 3.2 |
Wersje zagrożone | Jądro od 3.12 do wersji niższych niż: 4.19.324, 5.4.286, 5.10.230, 5.15.172, 6.1.117, 6.6.61, 6.11.8 (w zależności od linii) |
Wersje bezpieczne | Jądro 4.19.324, 5.4.286, 5.10.230, 5.15.172, 6.1.117, 6.6.61, 6.11.8 i nowsze. W dystrybucjach: aktualne jądro od dostawcy (Ubuntu od 19 lutego 2025 roku, Red Hat od 10 i 11 marca 2025 roku). Android: poziom zabezpieczeń 2025-03-01 lub nowszy. Siemens: SINEC OS 3.2 i biuletyny producenta |
Typ podatności | Użycie niezainicjowanego zasobu prowadzące do wycieku pamięci jądra; CWE-908 |
Ocena CVSS | NVD: 5.5 (CVSS 3.1, ŚREDNIA). CISA: 5.5. Red Hat: 6.1 (ŚREDNIA, inny rozkład skutków). Canonical: 5.5 z wysokim priorytetem wewnętrznym. Atak lokalny: urządzenie podłączone do portu lub konto w systemie |
Wyobraź sobie nowego pracownika, który dostaje biurko po poprzedniku, a nikt nie opróżnił szuflad. Uczciwy pracownik wyrzuci stare papiery. Nieuczciwy najpierw je przeczyta i dowie się, gdzie stoi sejf i jaki jest rozkład zmian ochrony. Sam nic nie ukradł, ale następny włamywacz wie już, gdzie iść.
Tak działał błąd w jądrze Linux. Urządzenie wejściowe (np. udające klawiaturę) wysyła do systemu krótkie porcje danych, a system trzyma na nie kawałek pamięci. Ten kawałek nie był czyszczony, więc spreparowane urządzenie mogło odczytać resztki innych danych jądra. Nowoczesne jądro losowo rozmieszcza swoje elementy w pamięci, żeby utrudnić ataki. Wyciek działa jak zapalona na chwilę zapałka w ciemnym pokoju: pokazuje rozkład, dzięki czemu kolejny atak trafia tam, gdzie trzeba.
💡 HID (Human Interface Device) to standard urządzeń wejściowych: klawiatur, myszy, czytników kodów. Jądro (kernel) to rdzeń systemu z najwyższymi uprawnieniami. Niezainicjowana pamięć to obszar, którego nie wyczyszczono przed ponownym użyciem. Losowe rozmieszczenie pamięci (KASLR) utrudnia napastnikowi trafienie w konkretne miejsce. Łańcuch ataku to kilka luk użytych po kolei. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Podłączenie urządzenia udającego klawiaturę | System odbiera tylko jego dane | Urządzenie może odczytać resztki pamięci jądra |
Losowe rozmieszczenie pamięci jądra | Utrudnia napastnikowi kolejne kroki | Wyciek ujawnia rozkład i ułatwia następny atak |
Pozycja „ujawnienie informacji” w raporcie | Często odkładana na koniec | Bywa kluczowym ogniwem łańcucha ataku |
Telefon z Androidem w cudzych rękach | Zablokowany ekran chroni dane | Luka mogła być częścią celowanego ataku |
Sterownik przemysłowy z Linuksem | Działa latami bez zmian | Wymaga poprawki od producenta i często postoju linii |
źródło: Pexels, cottonbro studioPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia atak jako aktywny, ale nieautomatyzowalny, ze skutkiem częściowym: wymaga urządzenia podłączonego do portu albo konta w systemie, więc to ataki przygotowane pod konkretny cel, a nie masowe kampanie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T+dni | Zbudowanie urządzenia udającego klawiaturę lub inne urządzenie HID, wysyłającego spreparowane raporty | Gotowe narzędzie |
2. Dostęp | T+0 min | Fizyczny dostęp do komputera, telefonu lub urządzenia, albo konto na maszynie | Możliwość podłączenia |
3. Wyciek pamięci | T+1 do 5 min | Wysłanie raportów i odczyt resztek pamięci jądra | Informacja o rozmieszczeniu jądra w pamięci |
4. Kolejna luka | T+5 do 15 min | Wykorzystanie innej luki, która dzięki wyciekowi trafia precyzyjnie | Najwyższe uprawnienia w systemie |
5. Dostęp do danych | T+minuty do godzin | Odczyt danych, obejście blokady urządzenia, instalacja narzędzi | Wyciek danych |
6. Ukrycie | T+godziny | Zatarcie śladów | Trudne wykrycie incydentu |
Luka opisana jako „ujawnienie informacji” brzmi łagodnie, ale w łańcuchu ataku bywa elementem, bez którego reszta się nie udaje. Kolejność napraw warto ustalać po tym, czy lukę widziano w akcji, a nie po tym, jak groźnie brzmi jej nazwa. Dodatkowo ten sam błąd dotyczy telefonów i urządzeń przemysłowych, gdzie aktualizacja jest trudniejsza niż na serwerze.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Okna serwisowe z restartem, postoje linii przy aktualizacji urządzeń przemysłowych | Dni do tygodni | 10 tys. do 200 tys. PLN (praca IT, postój produkcji) |
Bezpieczeństwo danych | Wyciek danych z przejętego telefonu lub komputera w łańcuchu ataku | Minuty do godzin | 10 tys. do 150 tys. PLN (analiza śledcza, obsługa incydentu) |
Finansowy | Wymiana telefonów bez wsparcia, koszty dalszego incydentu | Tygodnie | 10 tys. do 250 tys. PLN łącznie |
Reputacyjny | Ujawnienie danych z urządzeń kadry lub klientów | Miesiące | 10 tys. do 150 tys. PLN (utracone zaufanie) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli dotyczy danych osobowych; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla systemów z jądrem Linux bez poprawki
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . ■ . . ← ŚREDNIE (telefony, komputery z dostępnymi portami)
2 | □ . . . . ← NISKIE (serwer w zamkniętej szafie)
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: sama luka daje częściowy skutek (wyciek pamięci) i wymaga fizycznego lub lokalnego dostępu, więc ryzyko jest średnie; rośnie dla telefonów i komputerów w miejscach publicznych, bo była używana w celowanych atakach jako ogniwo łańcucha. Serwery w zamkniętej serwerowni bez kont zewnętrznych są narażone najmniej.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić poziom zabezpieczeń na telefonach służbowych z Androidem (wymagany 2025-03-01 lub nowszy) | Dziś | Dział IT / użytkownicy |
2 | 🟠 PILNIE | Zainstalować aktualne jądro od dostawcy dystrybucji na serwerach i komputerach z Linuksem i wykonać restart | Do 7 dni | Administrator |
3 | 🟠 PILNIE | Spisać urządzenia Siemens SCALANCE, RUGGEDCOM i SIMATIC oraz sprawdzić biuletyny producenta dla nich | Do 7 dni | Kierownik utrzymania ruchu / IT |
4 | 🟠 PILNIE | Wymienić telefony z Androidem, które nie dostają już poprawek bezpieczeństwa | Do 30 dni | CFO / dział IT |
5 | 🟡 WAŻNIE | Zaplanować aktualizację urządzeń przemysłowych z producentem maszyn i oknem postoju | Do 60 dni | Kierownik produkcji / CTO |
6 | 🟡 WAŻNIE | Ograniczyć fizyczny dostęp do portów USB w komputerach w miejscach publicznych i na halach | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Ustalać kolejność poprawek według katalogu CISA KEV, a nie tylko według oceny punktowej | Do 30 dni | CTO |
Poprawki są dostępne we wszystkich utrzymywanych liniach jądra, u dostawców dystrybucji i w biuletynie Androida z marca 2025 roku. Red Hat stwierdził, że żadne obejście nie spełnia jego kryteriów, więc zostaje aktualizacja. Poniższe miary tylko ograniczają ekspozycję. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Fizyczne zabezpieczenie lub wyłączenie portów USB w urządzeniach dostępnych dla osób postronnych | Średnia do wysokiej wobec ataku fizycznego | Średnia |
Przeniesienie komputerów i urządzeń z miejsc publicznych do pomieszczeń zamkniętych | Średnia | Średnia |
Ograniczenie kont lokalnych i zewnętrznych na serwerach | Średnia wobec wariantu z kontem w systemie | Średnia |
Wymiana telefonów bez wsparcia producenta | Pełna dla urządzeń mobilnych | Kosztowna |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Jądro na serwerach i komputerach | Bez poprawki lub bez restartu | Nowe jądro działa po restarcie |
Telefony z Androidem | Poziom zabezpieczeń sprzed marca 2025 roku | 2025-03-01 lub nowszy |
Urządzenia przemysłowe Siemens | Nieznany stan, brak spisu | Spis, plan aktualizacji z dostawcą |
Kolejność poprawek | Według oceny punktowej | Według potwierdzonego wykorzystania |
Zgodność z terminem CISA | Zaległość od 25 marca 2025 roku (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Google w biuletynie Androida z marca 2025 roku: oznaki ograniczonego, celowanego wykorzystania. Ocena CISA: aktywne, nieautomatyzowalne, skutek częściowy |
Grupy przestępcze | Brak publicznych informacji w zweryfikowanych źródłach |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 5.5 ŚREDNIA wg NVD, CISA i Canonical; 6.1 ŚREDNIA wg Red Hat (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji; charakter ataków celowany |
Prognoza EPSS | Około 0,008, poniżej 1% (wg analizy źródłowej); niska wartość typowa dla ataków celowanych |
Trzy oceny różnią się rozłożeniem skutków: NVD zakłada wysoki wyciek danych bez wpływu na działanie systemu, Red Hat niewielki wyciek, ale wysoki wpływ na dostępność. Canonical, mimo oceny 5.5, nadał wysoki priorytet właśnie z powodu wpisu do katalogu CISA.
Sygnały zagrożenia dla CVE-2024-50302
CVSS 3.1 (NVD) 5.5/10 ███████████░░░░░░░░░ ŚREDNIA
CVSS 3.1 (Red Hat) 6.1/10 ████████████░░░░░░░░ ŚREDNIA
EPSS (próba w 30 dni) <1% ░░░░░░░░░░░░░░░░░░░░ NISKA (celowane)
CISA KEV TAK ████████████████████ ataki potwierdzone
Android (Google) TAK ████████████████████ celowane wykorzystanie 2024-11-19 Publikacja CVE-2024-50302 (poprawki w liniach stabilnych
jądra)
2025-02-19 Poprawki jądra w Ubuntu
2025-03-01 Biuletyn Androida: poprawka i oznaki celowanego
wykorzystania
2025-03-04 CISA dodaje lukę do katalogu KEV
2025-03-10 Poprawki Red Hat (także 2025-03-11)
2025-03-25 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 18 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Ogłoszenie zespołu jądra Linux: lore.kernel.org: CVE-2024-50302 . Biuletyn Androida: source.android.com: biuletyn z 1 marca 2025 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-50302 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Polecić sprawdzenie poziomu zabezpieczeń na telefonach służbowych z Androidem | CTO | DZISIAJ |
2 | Uzyskać listę serwerów i komputerów z Linuksem z wersją działającego jądra | CTO | DZISIAJ |
3 | Zatwierdzić okno serwisowe z restartem serwerów | CTO | DO JUTRA |
4 | Zlecić spis urządzeń przemysłowych Siemens i dostawców ich poprawek | CTO | DO JUTRA |
5 | Zatwierdzić wymianę telefonów bez wsparcia producenta | CFO | DO JUTRA |
6 | Uwzględnić w planie produkcji okna postoju na aktualizacje urządzeń przemysłowych | CFO | DO JUTRA |
7 | Sprawdzić, jak szybko nasz dostawca systemu wydaje poprawki jądra | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaki poziom zabezpieczeń mają telefony służbowe z Androidem? | [poziom zabezpieczeń] | 🔴 |
2 | Jaka wersja jądra działa na naszych serwerach i komputerach z Linuksem? | [wersja] | 🔴 |
3 | Czy po instalacji poprawek jądra wykonano restart? | TAK / NIE, [data] | 🟠 |
4 | Czy mamy urządzenia Siemens SCALANCE, RUGGEDCOM lub SIMATIC i w jakich wersjach? | TAK / NIE, [wersje] | 🟠 |
5 | Ile telefonów służbowych nie dostaje już aktualizacji? | [liczba] | 🟠 |
6 | Czy komputery w miejscach publicznych mają dostępne porty USB? | TAK / NIE | 🟡 |
7 | Czy kolejność poprawek ustalamy według katalogu CISA KEV? | TAK / NIE | 🟡 |
CVE-2024-50302 pozwala podstawionym urządzeniem HID odczytać fragmenty pamięci jądra Linux, co ułatwia wykorzystanie kolejnych luk i według Google było częścią celowanych ataków na urządzenia z Androidem. Mimo średniej oceny CISA potwierdza wykorzystanie, więc sprawdzenie telefonów służbowych to zadanie na dziś, aktualizacja jądra z restartem na ten tydzień, a plan aktualizacji urządzeń przemysłowych na najbliższe tygodnie.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.