Błąd w OverlayFS jądra Linux pozwala użytkownikowi bez uprawnień zostać administratorem maszyny. CISA potwierdza ataki, poprawki są od 2023 roku. Zaktualizuj jądro z restartem i przejrzyj konta na serwerach.
Ten alert jest dla zarządu, CTO i CFO firm, które mają serwery lub stanowiska z Linuksem (Ubuntu, Debian, Red Hat i pokrewne), zwłaszcza takie, na których konta ma wiele osób: pracownicy, podwykonawcy, środowiska testowe. Werdykt: jeśli jądro nie ma poprawek z 2023 roku, zaplanuj aktualizację z restartem w ciągu kilku dni i przejrzyj listę kont, bo luka pozwala zwykłemu użytkownikowi zostać administratorem, a CISA potwierdza ataki.
Amerykańska agencja CISA 17 czerwca 2025 roku dopisała CVE-2023-0386 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd siedzi w OverlayFS, mechanizmie jądra Linuksa składającym katalog z kilku warstw. Przy kopiowaniu pliku z uprawnieniami specjalnymi między warstwami jądro nie sprawdzało poprawnie właściciela, co pozwala lokalnemu użytkownikowi podnieść swoje uprawnienia do poziomu administratora (root).
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 8 lipca 2025 roku. Poprawki dystrybucji są dostępne od wiosny 2023 roku, ponad dwa lata przed wpisem do KEV.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2023-0386 |
Data dodania do CISA KEV | 2025-06-17 |
Termin naprawy wg CISA | 2025-07-08 (21 dni od wpisu) |
Produkt | Jądro Linux (Linux Kernel), podsystem OverlayFS; wg NVD także Debian 10, Ubuntu 18.04, 20.04, 22.04 i oprogramowanie urządzeń NetApp H300S, H500S, H700S, H410S, H410C |
Wersje zagrożone | Wg NVD jądra od 5.11 do wersji niższych niż 5.15.91 oraz od 5.16 do niższych niż 6.1.9 (a także 6.2-rc1 do rc5). Dostawcy oceniają zakres inaczej: Red Hat wskazuje wersje od RHEL 8.6, starsze linie (6, 7) uznaje za niepodatne. Warunek: użytkownik musi móc samodzielnie montować OverlayFS we własnej przestrzeni nazw |
Wersje bezpieczne | Kod źródłowy: 5.15.91, 6.1.9 i nowsze (poprawka 4f11ada10d0a). Ubuntu: m.in. jądro 5.15.0-70.77. Red Hat: poprawki z kwietnia 2023 roku dla RHEL 8 i 9. Debian: DSA-5402 z maja 2023 roku. Wiążąca jest informacja dostawcy używanej dystrybucji |
Typ podatności | Niewłaściwe zarządzanie własnością prowadzące do lokalnego podniesienia uprawnień; CWE-282 |
Ocena CVSS | NVD i CISA: 7.8 WYSOKA (CVSS 3.1, atak łatwy). Red Hat: 7.0 WYSOKA (atak w trudniejszych warunkach). Atak lokalny, wymaga zwykłego konta, bez udziału innych użytkowników |
Wyobraź sobie wspólny segregator z procedurami na półce. Nikt nie pisze w oryginale: kto chce coś poprawić, robi kserokopię strony do własnego skoroszytu. Niektóre strony mają podpis dyrektora, a oryginały opatrzono adnotacją „kopia bez mocy prawnej”, więc podpis na kopii nic nie znaczy. Błąd polegał na tym, że kserokopia zachowywała podpis dyrektora, ale gubiła adnotację. Pracownik z taką kopią mógł w kasie wypłacić pieniądze, jakby był dyrektorem.
Tak działał OverlayFS. Plik z uprawnieniami specjalnymi (uruchamiany z uprawnieniami swojego właściciela) był kopiowany z miejsca, gdzie te uprawnienia są ignorowane, do miejsca, gdzie już działają, bez sprawdzenia, kto naprawdę jest właścicielem. W kilku krokach zwykły użytkownik bez szczególnych uprawnień zyskuje pełną kontrolę nad maszyną.
💡 OverlayFS to mechanizm składający jeden widoczny katalog ze wspólnej warstwy tylko do odczytu i osobistej warstwy na zmiany; jest podstawą działania m.in. kontenerów. Root to konto administratora z pełnymi uprawnieniami. Setuid to znacznik pliku, dzięki któremu program działa z uprawnieniami właściciela pliku. Lokalne podniesienie uprawnień oznacza, że napastnik musi już mieć konto na maszynie, ale może zyskać więcej, niż mu nadano. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Zwykły użytkownik serwera | Ma dostęp tylko do swoich plików | Może zostać administratorem całej maszyny |
Podwykonawca z kontem na serwerze testowym | Pracuje w swoim projekcie | Może czytać cudze projekty i dane |
Kopie zapasowe na serwerze | Chronione przed zwykłymi użytkownikami | Mogą zostać zmienione lub usunięte |
Dzienniki systemowe | Rejestrują działania użytkowników | Administrator z przejętymi uprawnieniami może zatrzeć ślady |
Atak z internetu bez konta | Niemożliwy tą metodą | Nadal niemożliwy, luka wymaga konta lokalnego |
źródło: Pexels, Andrea PiacquadioPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka jest lokalna: nie da się jej wykorzystać przez samo wysłanie żądania z internetu. Napastnik musi najpierw mieć zwykłe konto lub możliwość uruchomienia kodu na maszynie, np. przez przejęte hasło, podatną aplikację WWW albo konto podwykonawcy. CISA ocenia atak jako nienadający się do automatycznego przeczesywania internetu, ale ze skutkiem całkowitym.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Pierwszy dostęp | T+0 | Zdobycie zwykłego konta lub uruchomienie kodu przez inną lukę (np. w aplikacji WWW) | Działanie jako zwykły użytkownik |
2. Rozpoznanie | T+minuty | Sprawdzenie wersji jądra i możliwości montowania OverlayFS przez użytkownika | Potwierdzona podatność |
3. Podniesienie uprawnień | T+minuty | Wykorzystanie błędu kopiowania pliku z uprawnieniami specjalnymi | Uprawnienia administratora (root) |
4. Utrwalenie i zacieranie śladów | T+godziny | Instalacja ukrytego dostępu, zmiana dzienników | Trwała, niewidoczna kontrola nad serwerem |
5. Skutki | T+dni | Kradzież danych, modyfikacja kopii zapasowych, ruch do innych serwerów | Wyciek danych, utrata zaufania do kopii |
Nikt nie przejmie serwera tą metodą z drugiej strony internetu. Ale każde zwykłe konto na maszynie, także zapomniane konto byłego podwykonawcy, staje się przepustką do wszystkiego. Luka znosi podziały wewnątrz serwera i często jest drugim krokiem ataku, który zaczął się od innej luki.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęty serwer do odbudowy, zmodyfikowane lub usunięte kopie zapasowe | Dni | 20 tys. do 200 tys. PLN (odbudowa serwera, przestój usług) |
Bezpieczeństwo danych | Dostęp do wszystkich danych na serwerze, w tym cudzych projektów i danych klientów | Godziny od uzyskania konta | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, możliwe żądanie okupu po usunięciu kopii zapasowych | Tygodnie | 50 tys. do 600 tys. PLN łącznie |
Reputacyjny | Wyciek projektów lub danych klientów, utrata zaufania | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; roszczenia klientów o naruszenie poufności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: serwer Linux bez poprawki, wielu użytkowników
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . ● . . . ● serwer z jednym administratorem, bez usług dla innych
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełna kontrola nad maszyną), a prawdopodobieństwo średnie, bo atak wymaga wcześniejszego dostępu lokalnego (EPSS około 8%, wyżej niż 94% luk); serwery z wieloma kontami lub z aplikacjami wystawionymi do internetu są narażone najbardziej.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać serwery i stanowiska z Linuksem oraz wersje dystrybucji i jądra | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Sprawdzić w komunikacie dostawcy dystrybucji (Ubuntu, Debian, Red Hat), czy zainstalowane jądro zawiera poprawkę CVE-2023-0386 | Dziś | Administrator IT |
3 | 🟠 PILNIE | Zaktualizować jądro i zaplanować restart, zaczynając od serwerów z wieloma kontami i aplikacjami dostępnymi z internetu | Do 7 dni | Administrator IT / partner |
4 | 🟠 PILNIE | Przejrzeć konta na serwerach i usunąć te, przy których nikt nie wskaże aktualnej osoby | Do 7 dni | Administrator IT |
5 | 🟠 PILNIE | Sprawdzić urządzenia NetApp wymienione w NVD i zastosować zalecenia producenta | Do 7 dni | Administrator storage |
6 | 🟡 WAŻNIE | Spisać, co przestaje działać podczas restartu każdego serwera, by kolejne aktualizacje jądra nie były odkładane | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Przechowywać kopie zapasowe poza serwerami, do których mają dostęp zwykli użytkownicy | Do 30 dni | CTO / administrator |
Poprawki wydali wszyscy główni dostawcy dystrybucji w 2023 roku, więc docelowo trzeba je zainstalować. Red Hat opisał obejście na czas przed aktualizacją; oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zablokowanie ładowania modułu jądra OverlayFS (zalecenie Red Hat) | Wysoka: usuwa podatny mechanizm | Łatwa technicznie, ale zatrzymuje kontenery i aplikacje oparte na warstwach |
Wyłączenie możliwości tworzenia przestrzeni nazw użytkownika przez zwykłych użytkowników | Wysoka wobec opisanego warunku ataku | Średnia: może zepsuć niektóre aplikacje |
Usunięcie zbędnych kont lokalnych | Średnia: zawęża krąg osób mogących wykorzystać lukę | Łatwa |
Monitorowanie nietypowych zmian uprawnień i nowych plików z uprawnieniami specjalnymi | Niska jako ochrona, pomocna w wykryciu | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Jądro Linux | Wersja bez poprawki, restart odkładany | Jądro z poprawką, restart wykonany |
Konta na serwerach | Konta byłych podwykonawców i testowe | Tylko aktualni użytkownicy |
Kopie zapasowe | Na tym samym serwerze | Poza zasięgiem zwykłych użytkowników |
Wiedza o restartach | Nikt nie wie, co przestanie działać | Spisane zależności, szybkie aktualizacje |
Zgodność z terminem CISA | Ponad rok zaległości | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA, wykorzystanie aktywne, skutek techniczny całkowity) |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA wg NVD i CISA (CVSS 3.1); 7.0 WYSOKA wg Red Hat |
PoC dostępny publicznie? | Brak publicznych informacji w źródłach |
Liczba atakowanych firm | Brak publicznych informacji |
Rozbieżności źródeł | NVD obejmuje jądra od 5.11 i wybrane wydania Ubuntu; Canonical uznaje część z nich za niepodatne; Red Hat wskazuje dopiero RHEL 8.6 i nowsze |
Prognoza EPSS | Około 8% szansy próby wykorzystania w ciągu 30 dni, wyżej niż 94% wszystkich luk (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2023-0386
CVSS 3.1 (NVD) 7.8/10 ████████████████░░░░ WYSOKA
CVSS 3.1 (Red Hat) 7.0/10 ██████████████░░░░░░ WYSOKA
EPSS (próba w 30 dni) ~8% ██░░░░░░░░░░░░░░░░░░ wyżej niż 94% luk
CISA KEV TAK ████████████████████ ataki potwierdzone
Wymaga konta lokalnego TAK ██████████░░░░░░░░░░ nie z internetu 2023-01 Poprawka w kodzie jądra (commit 4f11ada10d0a),
wydania 5.15.91 i 6.1.9
2023-03-22 Publikacja CVE-2023-0386 w NVD
2023-04 Poprawki Red Hat dla RHEL 8 i 9, biuletyn NetApp
2023-05 Debian DSA-5402
... ponad 2 lata bez wpisu w KEV
2025-06-17 CISA dodaje lukę do katalogu KEV
2025-07-08 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Poprawka w kodzie jądra: git.kernel.org, commit 4f11ada10d0a . Informacja Red Hat: access.redhat.com, CVE-2023-0386 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2023-0386 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać listę serwerów i stanowisk z Linuksem z wersjami jądra | CTO | DZISIAJ |
2 | Potwierdzić z administratorem, które maszyny nie mają poprawki | CTO | DZISIAJ |
3 | Zatwierdzić okna serwisowe na restarty po aktualizacji jądra | CTO | DO JUTRA |
4 | Zlecić przegląd kont na serwerach, zwłaszcza kont podwykonawców | CTO | DO JUTRA |
5 | Sprawdzić, czy umowy z podwykonawcami regulują dostęp do serwerów i jego zakończenie | CFO | DO JUTRA |
6 | Zarezerwować budżet na przeniesienie kopii zapasowych poza serwery produkcyjne | CFO | DO JUTRA |
7 | Sprawdzić, czy polisa cyberubezpieczenia obejmuje incydenty z udziałem podwykonawców | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile mamy serwerów i stanowisk z Linuksem i jakie mają wersje jądra? | [liczba], [wersje] | 🔴 |
2 | Czy każde z tych jąder zawiera poprawkę CVE-2023-0386 według dostawcy dystrybucji? | TAK / NIE | 🔴 |
3 | Kiedy ostatnio restartowano serwery po aktualizacji jądra? | [data] | 🔴 |
4 | Ile kont lokalnych jest na serwerach i czy każde ma aktualnego właściciela? | [liczba], TAK / NIE | 🟠 |
5 | Czy zwykli użytkownicy mogą tworzyć przestrzenie nazw użytkownika i montować OverlayFS? | TAK / NIE | 🟠 |
6 | Czy mamy urządzenia NetApp z serii H i czy zastosowano zalecenia producenta? | TAK / NIE | 🟠 |
7 | Czy kopie zapasowe są przechowywane poza serwerami z dostępem zwykłych użytkowników? | TAK / NIE | 🟡 |
CVE-2023-0386 pozwala zwykłemu użytkownikowi Linuksa zostać administratorem przez błąd w OverlayFS. Luka wymaga konta lokalnego, ale CISA potwierdza ataki, a poprawki są dostępne od 2023 roku, więc aktualizacja jądra z restartem i przegląd kont na serwerach to zadania na najbliższe dni.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.