Błąd Mutagen Astronomy w jądrze Linux pozwala zwykłemu użytkownikowi zostać administratorem 64-bitowego serwera. CISA potwierdza ataki. Sprawdź wersje jąder i zaktualizuj stare serwery.
Ten alert jest dla zarządu, CTO i CFO firm, które mają serwery lub urządzenia oparte na starszym Linuksie, np. Red Hat Enterprise Linux 6 lub 7, stare Debiany i Ubuntu albo urządzenia sieciowe z wbudowanym jądrem. Werdykt: jeśli masz 64-bitowy serwer z dużą ilością pamięci na jądrze sprzed poprawek z 2018 roku, zaktualizuj jądro i uruchom serwer ponownie w najbliższym oknie serwisowym, a stare maszyny bez wsparcia zaplanuj do wymiany.
Amerykańska agencja CISA 26 stycznia 2026 roku dopisała CVE-2018-14634 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To błąd w jądrze systemu Linux, nazwany przez odkrywców z Qualys Research Labs „Mutagen Astronomy”. Pozwala zwykłemu użytkownikowi, który już ma dostęp do serwera, zdobyć uprawnienia administratora (root).
Luka została ujawniona 25 września 2018 roku, a poprawki dystrybucji pojawiły się na przełomie września i października 2018 roku. Termin naprawy wg CISA minął 16 lutego 2026 roku. Ryzyko dotyczy dziś przede wszystkim starych, nieaktualizowanych serwerów i urządzeń z wbudowanym Linuksem.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2018-14634 |
Data dodania do CISA KEV | 2026-01-26 |
Termin naprawy wg CISA | 2026-02-16 (21 dni od wpisu) |
Produkt | Jądro systemu Linux (funkcja create_elf_tables()); także produkty z wbudowanym jądrem, m.in. Palo Alto PAN-OS, rodzina F5 BIG-IP i BIG-IQ, NetApp SnapProtect (wg NVD) |
Wersje zagrożone | Gałęzie jądra 2.6, 3.10 i 4.14 (wg NVD do 2.6.39.4, 3.10.102 i 4.14.54); Red Hat Enterprise Linux 6 i 7 bez poprawek, Ubuntu 12.04 ESM i 14.04 LTS; PAN-OS 7.1 przed 7.1.23, 8.0 przed 8.0.16, 8.1 przed 8.1.7. Warunki: system 64-bitowy, dostęp do programu SUID; Red Hat uznaje systemy z mniej niż 32 GB pamięci za bardzo mało prawdopodobny cel |
Wersje bezpieczne | Red Hat Enterprise Linux 7: jądro 3.10.0-862.14.4 lub nowsze; RHEL 6: 2.6.32-754.6.3 lub nowsze; Debian stretch: 4.9.47-1, jessie: 3.16.59-1; Ubuntu: biuletyny z września i października 2018 roku; PAN-OS 7.1.23, 8.0.16, 8.1.7 lub nowsze. RHEL 5 i 8 nie są podatne. Dla konkretnego systemu wiążąca jest wersja pakietu od dostawcy |
Typ podatności | Lokalne podniesienie uprawnień przez przepełnienie liczby całkowitej; CWE-190 (Integer Overflow or Wraparound) |
Ocena CVSS | NVD i Red Hat: 7.8 (CVSS 3.0, WYSOKA). Atak lokalny, wymaga zwykłego konta, bez udziału innego użytkownika, pełny wpływ na poufność, integralność i dostępność. NVD w CVSS 2.0: 7.2 |
Wyobraź sobie licznik przebiegu w starym samochodzie, który ma pięć cyfr. Po 99 999 kilometrach pokazuje zero, choć auto przejechało sto tysięcy. Jądro Linuksa liczy, ile miejsca potrzebuje na argumenty uruchamianego programu. Gdy wynik „przekręci się”, system rezerwuje za mało pamięci, a dane nadpisują to, co leży obok.
Do tego dochodzi drugi element: w Linuksie są programy, które uruchamia zwykły użytkownik, ale które działają z prawami administratora. To jak formularz, który wypełnia dowolny pracownik, a który po złożeniu wykonuje się z upoważnieniem prezesa. Jeśli w formularzu da się przemycić coś więcej niż dane, upoważnienie prezesa przechodzi na osobę, która go wypełniła.
💡 Jądro (kernel) to rdzeń systemu operacyjnego, który zarządza pamięcią i uprawnieniami. Program SUID to program uruchamiany przez zwykłego użytkownika, ale działający z prawami właściciela, zwykle administratora. Root to konto administratora w Linuksie. Podniesienie uprawnień to przejście ze zwykłego konta na konto z pełną kontrolą nad systemem.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Napastnik włamał się przez dziurawą wtyczkę sklepu | Działa jako użytkownik serwera WWW, z ograniczonymi prawami | Może zostać administratorem całego serwera |
Kopie zapasowe na tym samym serwerze | Chronione przed zwykłym użytkownikiem | Mogą zostać zmienione lub skasowane |
Dzienniki zdarzeń | Pokazują ślady włamania | Napastnik z prawami root może je wyczyścić |
Serwer 64-bitowy z 64 GB pamięci | Stabilna maszyna do bazy danych | Realny cel ataku |
Serwer 32-bitowy lub z 16 GB pamięci | Bez zmian | Red Hat: atak niemożliwy lub bardzo mało prawdopodobny |
źródło: Pexels, Ylanite KoppensPoniżej typowy przebieg ataku dla lokalnego podniesienia uprawnień w Linuksie. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie otwiera drogi z internetu: napastnik musi już mieć konto lub działający proces na serwerze, a sam atak wymaga systemu 64-bitowego z dużą ilością pamięci. CISA ocenia go jako niemożliwy do automatyzacji, o całkowitym skutku technicznym.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Pierwsze wejście | T+0 | Wykorzystanie innej luki, np. w aplikacji WWW, lub przejęte konto techniczne | Dostęp do serwera jako zwykły użytkownik |
2. Rozpoznanie systemu | T+kilkanaście minut | Sprawdzenie wersji jądra, architektury, ilości pamięci i dostępnych programów SUID | Ocena, czy luka zadziała |
3. Podniesienie uprawnień | T+kilkadziesiąt minut | Uruchomienie programu SUID z tak dobranymi argumentami, żeby wywołać przepełnienie | Uprawnienia root |
4. Utrwalenie | T+1 do 3 godzin | Założenie ukrytego dostępu, czyszczenie dzienników, wyłączenie zabezpieczeń | Trwała kontrola nad serwerem |
5. Wykorzystanie | T+dni | Kradzież bazy danych, niszczenie kopii zapasowych, atak na inne maszyny | Wyciek danych lub przestój |
Zdanie „to tylko lokalna podatność” uspokaja bardziej, niż powinno. Takie luki są drugim krokiem prawie każdego poważnego włamania: zamieniają drobne wejście w przejęcie całego serwera. Jednocześnie ta konkretna luka ma twarde warunki (64 bity, dużo pamięci, stare jądro), więc w wielu firmach dotyczy tylko kilku maszyn.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odbudowa przejętego serwera, niewiarygodne kopie zapasowe | Dni | 20 tys. do 200 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież baz danych i plików z serwera | Godziny do dni od pierwszego wejścia | 20 tys. do 150 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty specjalistów, utracona sprzedaż, ewentualne żądanie okupu | Tygodnie | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów po wycieku | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Przy wycieku danych osobowych obowiązek zgłoszenia do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla 64-bitowego serwera z >= 32 GB pamięci
i jądrem bez poprawek z 2018 roku
Wpływ
5 | . . . . .
4 | . ■ . . . ← ŚREDNIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełne przejęcie serwera), ale prawdopodobieństwo niskie, bo atak wymaga wcześniejszego wejścia, starego jądra i dużej ilości pamięci; dla serwera 32-bitowego lub z małą ilością pamięci ryzyko tej luki jest jeszcze niższe.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Zrobić listę serwerów z Linuksem: dystrybucja, wersja jądra, architektura (32 lub 64 bity), ilość pamięci | Dziś | Administrator serwerów |
2 | 🔴 NATYCHMIAST | Wskazać maszyny spełniające warunki: 64 bity, jądro bez poprawek z 2018 roku, co najmniej 32 GB pamięci | Dziś | Administrator serwerów |
3 | 🟠 PILNIE | Zainstalować jądro z poprawką dystrybucji i uruchomić serwer ponownie | Do 7 dni | Administrator serwerów |
4 | 🟠 PILNIE | Sprawdzić, czy nigdzie nie polegamy na obejściu, które przestaje działać po restarcie | Do 3 dni | Administrator serwerów |
5 | 🟠 PILNIE | Sprawdzić wersje oprogramowania urządzeń sieciowych i pamięci masowych z wbudowanym Linuksem (np. PAN-OS, F5) | Do 7 dni | Administrator sieci |
6 | 🟡 WAŻNIE | Przenieść kopie zapasowe w miejsce, do którego serwer nie ma prawa zapisu, i przetestować odtworzenie | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Zaplanować migrację systemów bez wsparcia (np. RHEL 6, stare Ubuntu i Debiany) | Do 90 dni | CTO / CFO |
Dostawcy dystrybucji wydali poprawki jesienią 2018 roku, więc aktualne systemy są bezpieczne. Poniższe miary dotyczą maszyn, których nie da się od razu zaktualizować. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Obejście opisane przez Red Hat (skrypt ograniczający obszar na argumenty); przestaje działać po restarcie i trzeba je uruchamiać ponownie | Wysoka do czasu restartu | Średnia: wymaga pilnowania po każdym uruchomieniu serwera |
Ograniczenie liczby kont z dostępem do powłoki na serwerze | Średnia: zmniejsza liczbę punktów startowych ataku | Łatwa |
Szybkie łatanie aplikacji dostępnych z internetu (pierwszy krok ataku) | Średnia do wysokiej | Średnia |
Monitorowanie nowych procesów z uprawnieniami root i zmian w dziennikach | Niska jako ochrona, przydatna do wykrycia ataku | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o serwerach | Nieznane wersje jąder i ilości pamięci | Lista maszyn z oceną, czy luka ich dotyczy |
Jądro na serwerach 64-bitowych | Wersje sprzed poprawek z 2018 roku | Wersje z poprawką dostawcy, serwer zrestartowany |
Obejścia | „Zabezpieczone” w dokumentacji, nieaktywne po restarcie | Pełne poprawki zamiast obejść |
Kopie zapasowe | Na tym samym serwerze lub z prawem zapisu z serwera | Odseparowane i przetestowane |
Urządzenia z wbudowanym Linuksem | Nieznany stan | Wersje sprawdzone u producentów |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA wg NVD i Red Hat (CVSS 3.0) |
PoC dostępny publicznie? | TAK: w rekordzie CVE podlinkowany jest wpis w bazie Exploit-DB (45516) |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Qualys Research Labs (nazwa „Mutagen Astronomy”) |
Ocena CISA | Wykorzystanie aktywne, skutek techniczny całkowity, atak nieautomatyzowalny |
Sygnały zagrożenia dla CVE-2018-14634
CVSS 3.0 (NVD/Red Hat) 7.8/10 ████████████████░░░░ WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia
Wymagany dostęp lokalny ██████████░░░░░░░░░░ trzeba być w środku
Warunek pamięci >=32 GB ██████░░░░░░░░░░░░░░ zawęża grono celów 2017-07-07 Poprawka Keesa Cooka trafia do głównej gałęzi jądra
2018-07-27 Rezerwacja numeru CVE
2018-09-25 Qualys ujawnia lukę „Mutagen Astronomy”; publikacja CVE
2018-09-25 Red Hat zaczyna wydawać poprawki (do 9 października 2018)
2018-09/10 Canonical wydaje trzy biuletyny dla Ubuntu
2026-01-26 CISA dodaje lukę do katalogu KEV
2026-02-16 Termin naprawy wg CISA dla agencji federalnych
... 7 miesięcy od terminu CISA, prawie 8 lat od poprawek
2026-09-17: TUTAJ JESTEŚMY Przykładowy biuletyn z poprawką Red Hat: access.redhat.com/errata/RHSA-2018:3540 . Rekord CVE: cve.org/CVERecord?id=CVE-2018-14634 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2018-14634 . CISA zaznacza, że luka dotyczy wspólnego komponentu, więc status poprawek trzeba sprawdzić u dostawcy konkretnej dystrybucji lub urządzenia.
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić listę serwerów i urządzeń z Linuksem wraz z wersją jądra i ilością pamięci | CTO | DZISIAJ |
2 | Ustalić, które maszyny spełniają warunki podatności | CTO | DZISIAJ |
3 | Zatwierdzić okno serwisowe z restartem dla aktualizacji jądra | CTO | DO JUTRA |
4 | Zapytać dostawców urządzeń sieciowych i pamięci masowych o status poprawek | CTO | DO JUTRA |
5 | Oszacować koszt migracji systemów bez wsparcia producenta | CFO | DO JUTRA |
6 | Sprawdzić, czy kopie zapasowe są poza zasięgiem serwerów produkcyjnych | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile mamy serwerów z Red Hat Enterprise Linux 6 lub 7, starszym Debianem lub Ubuntu? | [liczba] | 🔴 |
2 | Które z nich są 64-bitowe i mają co najmniej 32 GB pamięci? | [lista] | 🔴 |
3 | Jaka jest najstarsza wersja jądra na tych maszynach? | [wersja] | 🔴 |
4 | Czy gdziekolwiek stosujemy obejście zamiast pełnej poprawki? | TAK / NIE | 🟠 |
5 | Kiedy ostatnio restartowano serwery po aktualizacji jądra? | [data] | 🟠 |
6 | Czy mamy urządzenia z wbudowanym Linuksem (PAN-OS, F5, NetApp) w starych wersjach? | TAK / NIE | 🟠 |
7 | Czy serwer produkcyjny ma prawo zapisu do kopii zapasowych? | TAK / NIE | 🟡 |
CVE-2018-14634 pozwala zwykłemu użytkownikowi zostać administratorem 64-bitowego serwera Linux z dużą ilością pamięci i starym jądrem. CISA potwierdza ataki, a poprawki są dostępne od 2018 roku, więc zadaniem na dziś jest ustalenie, których maszyn to dotyczy, a na najbliższy tydzień: aktualizacja jądra z restartem.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.