Błąd w sudo 1.9.14 do 1.9.17 pozwala każdemu użytkownikowi z kontem na maszynie uruchomić polecenia jako root przez opcję chroot. CISA potwierdza wykorzystanie. Sprawdź wersję sudo i zaktualizuj pakiet.
Ten alert jest dla zarządu, CTO i CFO firm, które mają serwery lub stacje z systemem Linux, zwłaszcza takie, do których loguje się wiele osób (programiści, podwykonawcy, serwisanci). Werdykt: jeśli sudo na serwerze ma wersję od 1.9.14 do 1.9.17 włącznie, zaktualizuj pakiet sudo w tym tygodniu, bo luka pozwala każdemu użytkownikowi z kontem na maszynie zostać administratorem i CISA potwierdza jej wykorzystanie.
Amerykańska agencja CISA 29 września 2025 roku dopisała podatność CVE-2025-32463 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd w sudo, standardowym narzędziu Linuksa do wykonywania poleceń z uprawnieniami administratora (root), pozwala lokalnemu użytkownikowi uruchomić dowolne polecenie jako root przez opcję -R (--chroot), nawet jeśli nie ma żadnych uprawnień w pliku sudoers.
Projekt sudo opublikował poprawkę w wersji 1.9.17p1 30 czerwca 2025 roku; odkrywcą jest Rich Mirch z zespołu Stratascale. Wadliwy kod pojawił się dopiero w wersji 1.9.14, więc wiele starszych systemów nie jest podatnych. Termin CISA minął 20 października 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-32463 |
Data dodania do CISA KEV | 2025-09-29 |
Termin naprawy wg CISA | 2025-10-20 (21 dni od wpisu) |
Produkt | Sudo (projekt open source), wbudowany w dystrybucje Linux i inne systemy uniksowe; CISA zaznacza, że luka może dotyczyć produktów wykorzystujących ten komponent |
Wersje zagrożone | Sudo 1.9.14 do 1.9.17 włącznie, na systemach obsługujących plik /etc/nsswitch.conf. Przykłady wg dystrybucji: Red Hat Enterprise Linux 10, Ubuntu 24.04 LTS, 24.10 i 25.04, wybrane wydania SUSE. RHEL 6 do 9, Ubuntu 22.04 LTS i starsze oraz Debian bullseye i bookworm oznaczono jako nieobjęte |
Wersje bezpieczne | Sudo 1.9.17p1 i nowsze; w dystrybucjach pakiety z poprawką, np. RHEL 10: sudo-1.9.15-8.p5.el10_0.2 (RHSA-2025:11537), Ubuntu: USN-7604-1, Azure Linux: sudo 1.9.17-1.cbl2 |
Typ podatności | Włączenie funkcjonalności z niezaufanej sfery kontroli; CWE-829 (Red Hat klasyfikuje jako niekontrolowaną ścieżkę wyszukiwania) |
Ocena CVSS | MITRE: 9.3 (CVSS 3.1, KRYTYCZNA, bez wymaganych uprawnień, zakres zmieniony). NVD i Red Hat: 7.8 (CVSS 3.1, WYSOKA, wymagane konto). SUSE: 7.3 (CVSS 4.0). Atak lokalny, bez udziału użytkownika |
Wyobraź sobie magazyn, do którego pracownik może wejść po okazaniu listy pozycji zatwierdzonej przez przełożonego. Magazynier w wadliwej wersji procedury pyta: „gdzie masz listę?”, a pracownik odpowiada: „w teczce, którą sam przyniosłem”. Magazynier sięga do tej teczki i wydaje wszystko, co na liście. Procedura formalnie zachowana, tylko autorem listy jest osoba, którą lista miała ograniczać.
Sudo z opcją --chroot pozwalało użytkownikowi wskazać własny katalog, a następnie czytało z niego plik konfiguracyjny systemu (/etc/nsswitch.conf). Podkładając spreparowany plik, użytkownik zmuszał sudo do wczytania wybranej przez siebie biblioteki z uprawnieniami roota. Każde zwykłe konto na maszynie staje się w praktyce kontem administratora.
💡 Sudo to program pozwalający zwykłemu użytkownikowi wykonać wybrane polecenia jako administrator. Root to konto administratora w systemach Linux z pełnymi uprawnieniami. Sudoers to plik określający, kto może wykonywać jakie polecenia przez sudo. Chroot to uruchomienie programu z innym katalogiem jako „głównym”. Atak lokalny oznacza, że napastnik musi już mieć dostęp do konta na maszynie.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Administrator używa sudo do aktualizacji | Wykonuje dozwolone polecenia | Tak samo |
Pracownik bez wpisu w sudoers próbuje uzyskać roota | Odmowa | Uzyskuje uprawnienia roota |
Podwykonawca z ograniczonym kontem | Widzi tylko swoje pliki | Może czytać cudze klucze i hasła |
Napastnik po włamaniu przez aplikację webową | Konto o niskich uprawnieniach | Pełne przejęcie serwera |
Dziennik zdarzeń systemu | Wiarygodny zapis działań | Może zostać wyczyszczony przez roota |
źródło: Pexels, Ferran PetitPoniżej typowy przebieg ataku dla tej luki. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie działa z internetu: napastnik musi najpierw mieć konto na maszynie, własne, przejęte albo zdobyte przez inną lukę. CISA ocenia wykorzystanie jako aktywne, ale nienadające się do masowej automatyzacji.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Dostęp do konta | T+0 min | Włamanie przez podatną aplikację webową, przejęte hasło lub konto podwykonawcy | Konto o niskich uprawnieniach na serwerze |
2. Sprawdzenie wersji | T+1 min | Odczyt wersji sudo | Potwierdzenie wersji 1.9.14 do 1.9.17 |
3. Podniesienie uprawnień | T+kilka minut | Przygotowanie katalogu ze spreparowanym nsswitch.conf i biblioteką, uruchomienie sudo -R | Powłoka z uprawnieniami roota |
4. Utrwalenie | T+kilkanaście minut | Nowe konta, klucze SSH, usunięcie śladów z dziennika | Stały, ukryty dostęp |
5. Dalsze działania | T+godziny do dni | Kradzież kluczy i haseł, podmiana kodu, ruch na inne serwery | Przejęcie infrastruktury |
„Atak lokalny” brzmi uspokajająco, dopóki nie policzy się kont na serwerze. Każde konto pracownika, podwykonawcy czy usługi to potencjalny punkt startu do pełnego przejęcia. Jednocześnie wąski zakres wersji sprawia, że wiele starszych systemów w ogóle nie jest podatnych, więc najpierw trzeba sprawdzić wersję, a nie wywracać plan pracy.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęty serwer do przeinstalowania, przerwa w usługach | Dni | 10 tys. do 150 tys. PLN (odbudowa, przestój) |
Bezpieczeństwo danych | Kradzież kluczy, haseł, kodu i danych z serwera | Minuty do godzin od wejścia na konto | 20 tys. do 150 tys. PLN (analiza, wymiana kluczy) |
Finansowy | Koszty specjalistów, możliwe roszczenia klientów przy podmianie kodu | Tygodnie | 20 tys. do 300 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, jeśli dostarczony im kod lub dane zostały naruszone | Miesiące | 20 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Zgłoszenie do UODO w ciągu 72 godzin, jeśli serwer przetwarzał dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; trudność w wykazaniu przebiegu incydentu | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwera Linux z sudo 1.9.14 do 1.9.17
i kontami wielu użytkowników
Wpływ
5 | . . . . .
4 | . ○ . ■ . ← ■ WYSOKIE (wiele kont lub usługa w internecie)
3 | . . . . . ○ serwer z jednym zaufanym użytkownikiem
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełne uprawnienia roota na maszynie, bez bezpośredniego ataku z internetu), a prawdopodobieństwo zależy od liczby kont i aplikacji wystawionych do sieci; na serwerze z jednym zaufanym administratorem ryzyko jest znacznie niższe, a system z sudo spoza zakresu 1.9.14 do 1.9.17 jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję sudo na wszystkich serwerach i stacjach Linux (polecenie sudo -V) oraz wersję dystrybucji | Dziś | Administrator Linux |
2 | 🟠 PILNIE | Na systemach z sudo 1.9.14 do 1.9.17 zaktualizować pakiet sudo z repozytorium dystrybucji | Do 3 dni | Administrator Linux |
3 | 🟠 PILNIE | W pierwszej kolejności zaktualizować serwery z wieloma kontami (programiści, podwykonawcy) i z aplikacjami dostępnymi z internetu | Do 3 dni | Administrator Linux |
4 | 🟠 PILNIE | Sprawdzić obrazy kontenerów, maszyn wirtualnych i urządzeń, które mogą zawierać podatne sudo | Do 7 dni | DevOps |
5 | 🟡 WAŻNIE | Przejrzeć konta na serwerach i usunąć nieużywane, zwłaszcza konta byłych podwykonawców | Do 14 dni | Administrator Linux |
6 | 🟡 WAŻNIE | Wysyłać dzienniki zdarzeń na osobny serwer, żeby root nie mógł ich wyczyścić | Do 30 dni | Administrator / DevOps |
Projekt sudo i dystrybucje wydały poprawki. Red Hat stwierdza, że nie ma obejścia spełniającego jego kryteria, a sudo nie jest usługą sieciową, więc nie da się go „zamknąć na zaporze”. Poniższe miary tylko ograniczają ryzyko; efektywność to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie liczby kont z możliwością logowania na podatnym serwerze | Średnia: mniej punktów wejścia | Łatwa |
Pilna aktualizacja aplikacji dostępnych z internetu na tym serwerze | Średnia: utrudnia zdobycie pierwszego konta | Średnia |
Wysyłanie dzienników na zewnętrzny serwer | Niska jako ochrona, kluczowa do wykrycia i wyjaśnienia incydentu | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja sudo | 1.9.14 do 1.9.17 | 1.9.17p1 lub pakiet dystrybucji z poprawką |
Zwykłe konto na serwerze | Droga do roota | Tylko przydzielone uprawnienia |
Wiedza o zakresie problemu | „Krytyczna dziura w sudo” dla wszystkich serwerów | Lista faktycznie podatnych maszyn |
Konta podwykonawców | Także nieaktywne | Tylko potrzebne |
Dzienniki zdarzeń | Tylko lokalnie | Kopia na osobnym serwerze |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, atak nie w pełni automatyzowalny |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA KEV: Unknown) |
Ocena CVSS | 9.3 KRYTYCZNA wg MITRE (CVSS 3.1); 7.8 WYSOKA wg NVD i Red Hat (CVSS 3.1); 7.3 wg SUSE (CVSS 4.0) |
PoC dostępny publicznie? | Brak potwierdzenia gotowego kodu w analizowanych źródłach; publiczna jest szczegółowa analiza techniczna Stratascale |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Rich Mirch, Stratascale Cyber Research Unit |
Prognoza EPSS | Ok. 0,59 (59% szansy próby wykorzystania w 30 dni) w sierpniu 2026, powyżej 99. percentyla |
Oceny różnią się, bo MITRE zakłada brak wymaganych uprawnień i skutki poza programem, a NVD wymaga konta i ogranicza skutki do maszyny. Własne środowisko zna firma, nie instytucja wystawiająca ocenę:
Sygnały zagrożenia dla CVE-2025-32463
CVSS 3.1 (MITRE) 9.3/10 ███████████████████░ KRYTYCZNA
CVSS 3.1 (NVD) 7.8/10 ████████████████░░░░ WYSOKA
CVSS 4.0 (SUSE) 7.3/10 ███████████████░░░░░ WYSOKA
EPSS (próba w 30 dni) ~59% ████████████░░░░░░░░ BARDZO WYSOKA jak na tło
CISA KEV TAK ████████████████████ ataki potwierdzone (wcześniej) Sudo 1.9.14 wprowadza zmianę, która tworzy lukę
2025-06-30 Projekt sudo publikuje biuletyn i wersję 1.9.17p1, publikacja CVE
2025-07-22 Red Hat wydaje poprawkę dla RHEL 10 (RHSA-2025:11537)
2025-09-29 CISA dodaje lukę do katalogu KEV
2025-10-20 Termin naprawy wg CISA dla agencji federalnych
2026-08 EPSS ok. 0,59
... prawie 11 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn projektu sudo: sudo.ws/security/advisories/chroot_bug . Wpis w NVD z odnośnikami do biuletynów dystrybucji: nvd.nist.gov/vuln/detail/CVE-2025-32463 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić listę serwerów i stacji Linux z wersją dystrybucji i wersją sudo | CTO | DZISIAJ |
2 | Wskazać serwery, na które logują się podwykonawcy lub wiele osób | CTO | DZISIAJ |
3 | Zatwierdzić aktualizację sudo na podatnych maszynach | CTO | DO JUTRA |
4 | Zlecić sprawdzenie obrazów kontenerów i maszyn wirtualnych | CTO | DO JUTRA |
5 | Zlecić przegląd kont i usunięcie nieużywanych | CTO | DO JUTRA |
6 | Oszacować koszt centralnego zbierania dzienników zdarzeń | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile mamy serwerów i stacji Linux z sudo w wersji 1.9.14 do 1.9.17? | [liczba] | 🔴 |
2 | Jakie dystrybucje i wersje działają na naszych serwerach? | [lista] | 🔴 |
3 | Czy pakiet sudo z poprawką jest zainstalowany na wszystkich podatnych maszynach? | TAK / NIE, [data] | 🔴 |
4 | Ile osób, w tym podwykonawców, ma konta na każdym serwerze? | [liczba] | 🟠 |
5 | Czy obrazy kontenerów i szablony maszyn wirtualnych zawierają podatne sudo? | TAK / NIE | 🟠 |
6 | Czy dzienniki zdarzeń trafiają na osobny serwer? | TAK / NIE | 🟡 |
7 | Czy na podatnych serwerach działają aplikacje dostępne z internetu? | TAK / NIE | 🟡 |
CVE-2025-32463 w sudo 1.9.14 do 1.9.17 pozwala każdemu użytkownikowi z kontem na maszynie Linux uzyskać uprawnienia administratora, bez wpisu w sudoers. CISA potwierdza wykorzystanie, a obejścia nie ma, więc sprawdzenie wersji sudo to zadanie na dziś, a aktualizacja pakietu na serwerach z wieloma kontami na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.