Luka w module eksportu Oracle Agile PLM 9.3.6 pozwala użytkownikowi o niskich uprawnieniach przejąć cały system z dokumentacją wyrobów. CISA potwierdza ataki. Wgraj poprawki Oracle i przejrzyj konta.
Ten alert jest dla zarządu, CTO i CFO firm produkcyjnych i dystrybucyjnych, które przechowują dokumentację wyrobów w Oracle Agile PLM. Werdykt: jeśli Agile PLM 9.3.6 (lub starszy) nie ma poprawek z pakietu Oracle ze stycznia 2024 roku, wgraj je i przejrzyj konta użytkowników dziś, bo luka pozwala zwykłemu użytkownikowi przejąć cały system i jest wykorzystywana w atakach.
Amerykańska agencja CISA 24 lutego 2025 roku dopisała podatność CVE-2024-20953 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w module eksportu danych Oracle Agile PLM, systemu do zarządzania cyklem życia produktu. Napastnik z kontem o niskich uprawnieniach i dostępem sieciowym może przejąć całą aplikację.
Poprawka jest dostępna od stycznia 2024 roku, czyli od ponad dwóch i pół roku, a termin naprawy wg CISA minął 17 marca 2025 roku. To klasyczna sytuacja, w której luka „wisiała” rok bez rozgłosu, zanim potwierdzono ataki.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-20953 |
Data dodania do CISA KEV | 2025-02-24 |
Termin naprawy wg CISA | 2025-03-17 (21 dni od wpisu) |
Produkt | Oracle Agile Product Lifecycle Management (PLM), rodzina Oracle Supply Chain, moduł Export |
Wersje zagrożone | Agile PLM 9.3.6 bez poprawek z Critical Patch Update ze stycznia 2024. Oracle zaznacza, że nie testuje wydań spoza wsparcia, ale uznaje za prawdopodobne, że są również podatne |
Wersje bezpieczne | Agile PLM 9.3.6 z poprawkami z Critical Patch Update ze stycznia 2024 (wydany 16 stycznia 2024) lub z nowszych kwartalnych pakietów Oracle. Najnowszy pakiet sprawdź w portalu Oracle |
Typ podatności | Deserializacja niezaufanych danych, CWE-502 (klasyfikacja CISA; NVD: brak informacji) |
Ocena CVSS | Oracle: 8.8 (CVSS 3.1, WYSOKA, pełny wpływ na poufność, integralność i dostępność). NVD nie wystawiła własnej oceny. Atak przez sieć (HTTP), wymaga konta o niskich uprawnieniach, bez udziału innego użytkownika |
Wyobraź sobie magazyn, który rozpakowuje każdą przysłaną paczkę i wykonuje instrukcję znalezioną w środku, bez sprawdzania nadawcy. Dopóki przychodzą zamówienia od znanych dostawców, wszystko działa. Wystarczy jedna paczka z kartką „wydaj klucze do całego budynku”, a magazynier posłusznie ją wykona, bo „tak przyszło w paczce”.
Tak działał moduł eksportu w Agile PLM. Użytkownik z dowolnym kontem mógł przekazać aplikacji „paczkę” danych, którą system rozpakowywał i wykonywał bez weryfikacji, z pełnymi uprawnieniami aplikacji. Skutek: przejęcie systemu, w którym firma trzyma rysunki techniczne, listy materiałowe, dane dostawców i historię zatwierdzeń.
💡 PLM (Product Lifecycle Management) to system, w którym firma prowadzi dokumentację wyrobu od projektu po wycofanie. Deserializacja to odtworzenie danych przesłanych w spakowanej postaci; jest groźna, gdy aplikacja odtwarza dane od niezaufanego nadawcy. Critical Patch Update (CPU) to kwartalny pakiet poprawek bezpieczeństwa Oracle. KEV to katalog CISA z lukami potwierdzonymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Praktykant z kontem tylko do odczytu | Przegląda wybrane dokumenty | Może przejąć całą aplikację |
Konto byłego pracownika, którego nikt nie wyłączył | Martwe, nieużywane | Wystarczy do przejęcia systemu, jeśli hasło wyciekło |
Eksport zestawienia do arkusza | Bezpieczna, codzienna funkcja | Droga ataku |
Zatwierdzona wersja rysunku | Zmienia ją tylko uprawniony konstruktor | Może zostać po cichu podmieniona |
Dane dostawców i ceny zakupu | Widoczne dla działu zakupów | Mogą trafić do konkurencji lub przestępców |
źródło: Pexels, BurstPoniżej typowy przebieg ataku dla tej klasy podatności, a nie odtworzenie konkretnego incydentu. Luka wymaga konta w Agile PLM, więc atak zaczyna się od zdobycia danych logowania. CISA ocenia, że ataku nie da się łatwo zautomatyzować, więc chodzi o ataki na wybrane firmy, a nie masowe skanowanie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie konta | T+0 (dni do tygodni przygotowań) | Wyłudzenie hasła, zakup danych z innego wycieku lub użycie konta byłego pracownika | Dostęp do Agile PLM jako zwykły użytkownik |
2. Wykorzystanie luki | T+kilka minut od zalogowania | Nadużycie modułu eksportu | Przejęcie aplikacji z jej pełnymi uprawnieniami |
3. Rozpoznanie | T+godziny | Przegląd dokumentacji, list materiałowych, danych dostawców | Mapa najcenniejszych danych |
4. Kradzież | T+1 do 3 dni | Kopiowanie rysunków, specyfikacji i warunków handlowych | Tajemnica przedsiębiorstwa poza firmą |
5. Manipulacja lub utrwalenie | T+dni | Ciche zmiany w dokumentacji lub pozostawienie ukrytego dostępu | Ryzyko wadliwej produkcji, powrót napastnika |
6. Skutki | T+tygodnie | Sprzedaż danych, szantaż, dalszy atak na sieć firmy | Straty finansowe i prawne |
W PLM leży wszystko, co odróżnia wyrób firmy od wyrobu konkurencji: rysunki, specyfikacje, receptury, dane dostawców i marże. Wymóg posiadania konta nie jest realną przeszkodą, bo w takim systemie po kilku latach działa wiele kont, w tym nieaktualnych.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wstrzymanie prac konstrukcyjnych i zmian produkcyjnych, weryfikacja integralności dokumentacji | Dni do tygodni | 50 tys. do 400 tys. PLN (przestój, weryfikacja dokumentów) |
Bezpieczeństwo danych | Kradzież tajemnicy przedsiębiorstwa, danych dostawców i warunków handlowych | Dni od wejścia | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Wadliwa partia produkcyjna po podmianie dokumentacji, utrata przewagi konkurencyjnej | Tygodnie do miesięcy | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów powierzających firmie specyfikacje | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Przy danych osobowych (np. kontakty dostawców, pracownicy) zgłoszenie do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań); ryzyko roszczeń z umów o poufności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Agile PLM 9.3.6 bez poprawek
ze stycznia 2024
Wpływ
5 | . . . ■ . ← WYSOKIE / KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest najwyższy (pełne przejęcie systemu z kluczową dokumentacją firmy), a prawdopodobieństwo wysokie, lecz nie maksymalne, bo atak wymaga konta i nie jest masowy; firma z uporządkowaną listą kont i systemem niewidocznym z internetu wyraźnie obniża prawdopodobieństwo.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić wersję Agile PLM i datę ostatniego wgranego kwartalnego pakietu poprawek Oracle | Dziś | Administrator aplikacji |
2 | 🔴 NATYCHMIAST | Wyłączyć konta byłych pracowników, praktykantów i nieużywane konta serwisowe | Dziś | Administrator aplikacji / HR |
3 | 🔴 NATYCHMIAST | Wgrać poprawki z Critical Patch Update ze stycznia 2024 lub nowszego pakietu, po testach na środowisku testowym | Do 7 dni | Administrator / partner Oracle |
4 | 🟠 PILNIE | Sprawdzić, czy Agile PLM jest dostępny z internetu, i ograniczyć dostęp do sieci firmowej lub VPN | Do 3 dni | Administrator sieci |
5 | 🟠 PILNIE | Potwierdzić, że kopie zapasowe PLM są przechowywane poza serwerem aplikacji i pozwalają odtworzyć stan z konkretnej daty | Do 7 dni | Administrator kopii zapasowych |
6 | 🟠 PILNIE | Przejrzeć logi aplikacji pod kątem nietypowych eksportów i logowań od stycznia 2024 | Do 14 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Zaplanować migrację, jeśli używana wersja jest poza wsparciem Oracle | Do 30 dni | CTO |
Oracle wydał poprawkę w styczniu 2024 roku i nie podaje obejścia dla tej konkretnej luki. Ogólne zalecenia producenta to blokowanie protokołów sieciowych potrzebnych do ataku oraz odebranie uprawnień użytkownikom, którzy ich nie potrzebują, z zastrzeżeniem, że oba kroki mogą zaburzyć działanie aplikacji. Oceny poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie nieużywanych i nieaktualnych kont | Średnia: zmniejsza liczbę dróg wejścia, nie usuwa błędu | Łatwa |
Dostęp do Agile PLM tylko z sieci firmowej lub VPN | Średnia do wysokiej wobec napastników z zewnątrz | Średnia |
Ograniczenie uprawnień i dostępu do funkcji eksportu tylko dla osób, które go potrzebują (zalecenie ogólne Oracle) | Średnia, może zaburzyć pracę | Średnia: wymaga testów |
Uwierzytelnianie wieloskładnikowe przed dostępem do aplikacji (np. przez VPN) | Średnia: utrudnia użycie wykradzionych haseł | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Skutek przejęcia jednego konta | Przejęcie całego systemu | Dostęp ograniczony do uprawnień konta |
Lista kont | Konta byłych pracowników i stare konta serwisowe | Tylko aktywni, imienni użytkownicy |
Poziom poprawek | Brak pakietu ze stycznia 2024 | Aktualny kwartalny pakiet Oracle |
Kopie zapasowe | Nieznany stan | Sprawdzone odtworzenie stanu z wybranej daty |
Zgodność z terminem CISA | Zaległość ponad 1,5 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA ocenia skutek jako całkowity, a atak jako trudny do automatyzacji |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA KEV: Unknown) |
Ocena CVSS | 8.8 WYSOKA wg Oracle (CVSS 3.1); NVD bez własnej oceny |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Badacz nexteam współpracujący z Trend Micro Zero Day Initiative |
Prognoza EPSS | Poniżej 4% szansy próby w ciągu miesiąca (wg analizy źródłowej); niska, bo system jest branżowy i rzadko wystawiony do internetu |
Niska prognoza EPSS nie oznacza bezpieczeństwa. Oznacza, że ataki są wymierzone w wybrane firmy, które mają ten system, a nie prowadzone masowo. Ten sam styczniowy pakiet Oracle poprawia w Agile PLM 9.3.6 także trzy luki w składnikach zewnętrznych (Apache Tomcat, HtmlCleaner, Google Guava), więc warto wgrać cały pakiet.
Sygnały zagrożenia dla CVE-2024-20953
CVSS 3.1 (Oracle) 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) <4% █░░░░░░░░░░░░░░░░░░░ NISKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Skutek wg CISA Total ████████████████████ pełne przejęcie
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2024-01-16 Oracle wydaje Critical Patch Update ze stycznia 2024
(389 poprawek, w tym CVE-2024-20953)
2024-02-17 Publikacja wpisu CVE-2024-20953 w NVD
2025-02-24 CISA dodaje lukę do katalogu KEV
2025-03-17 Termin naprawy wg CISA
... ponad 1,5 roku od terminu CISA,
ponad 2,5 roku od wydania poprawki
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: Oracle Critical Patch Update, styczeń 2024 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-20953 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa Oracle Agile PLM (u siebie lub u partnera) | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: wersja i ostatni wgrany pakiet poprawek Oracle | CTO | DZISIAJ |
3 | Zlecić wyłączenie kont byłych pracowników i nieużywanych kont serwisowych | CTO | DZISIAJ |
4 | Zatwierdzić okno serwisowe na testy i wgranie poprawek | CTO | DO JUTRA |
5 | Zlecić test odtworzenia PLM z kopii zapasowej | CTO | DO JUTRA |
6 | Sprawdzić stan umowy wsparcia Oracle i dostęp do poprawek | CFO | DO JUTRA |
7 | Zarezerwować budżet na migrację, jeśli wersja jest poza wsparciem | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja Agile PLM jest zainstalowana? | [wersja] | 🔴 |
2 | Kiedy wgrano ostatni kwartalny pakiet poprawek Oracle i który to był? | [data], [pakiet] | 🔴 |
3 | Ile aktywnych kont ma Agile PLM i ile z nich należy do osób, które odeszły? | [liczba kont] | 🔴 |
4 | Czy Agile PLM jest dostępny z internetu bez VPN? | TAK / NIE | 🟠 |
5 | Czy kopia zapasowa PLM jest przechowywana poza serwerem aplikacji i była testowana? | TAK / NIE, [data testu] | 🟠 |
6 | Czy logi aplikacji pozwalają ustalić, kto i kiedy eksportował dane? | TAK / NIE | 🟡 |
7 | Czy mamy aktywną umowę wsparcia Oracle z dostępem do poprawek? | TAK / NIE | 🟡 |
CVE-2024-20953 pozwala użytkownikowi z dowolnym kontem przejąć Oracle Agile PLM przez moduł eksportu. Poprawka jest dostępna od stycznia 2024 roku, CISA potwierdza ataki, a termin naprawy minął 17 marca 2025 roku, więc wgranie pakietu poprawek i porządek w kontach to zadania na dziś, a test kopii zapasowych i przegląd logów na najbliższe dni.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.