Błąd w sterowniku dźwięku USB jądra Linux pozwala spreparowanemu urządzeniu odczytać pamięć lub zawiesić system. CISA i Google potwierdzają ataki ukierunkowane. Zaktualizuj jądro i telefony z Androidem do poprawek z kwietnia 2025.
Ten alert jest dla zarządu, CTO i CFO firm, które używają komputerów, serwerów lub telefonów z systemami opartymi na jądrze Linux, w tym urządzeń z Androidem. Werdykt: jeśli jądro nie ma poprawek z przełomu 2024 i 2025 roku, a telefony z Androidem mają poziom zabezpieczeń starszy niż 2025-04-05, zaktualizuj je w najbliższym oknie serwisowym, bo luka jest wykorzystywana w atakach ukierunkowanych, zwykle z fizycznym dostępem do urządzenia.
Amerykańska agencja CISA 9 kwietnia 2025 roku dopisała CVE-2024-53150 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd siedzi w sterowniku dźwięku USB jądra Linux: sterownik nie sprawdzał długości deklarowanej przez podłączone urządzenie w opisach źródeł zegara, więc spreparowane urządzenie USB mogło spowodować odczyt pamięci poza przydzielonym obszarem. Skutkiem może być ujawnienie informacji z pamięci systemu albo awaria maszyny.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 30 kwietnia 2025 roku. Google w biuletynie Androida z kwietnia 2025 roku wskazał na oznaki ograniczonego, ukierunkowanego wykorzystania tej luki.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-53150 |
Data dodania do CISA KEV | 2025-04-09 |
Termin naprawy wg CISA | 2025-04-30 (21 dni od wpisu) |
Produkt | Jądro Linux, sterownik dźwięku USB (ALSA usb-audio); CISA wskazuje także Androida, NVD wymienia Debiana 11 |
Wersje zagrożone | Wg NVD jądra poniżej 5.4.287, 5.5 do 5.10.230, 5.11 do 5.15.173, 5.16 do 6.1.119, 6.2 do 6.6.63, 6.7 do 6.11.10 oraz 6.12 do 6.12.1. W dystrybucjach wiążąca jest informacja dostawcy |
Wersje bezpieczne | Kod źródłowy: 5.4.287, 5.10.231, 5.15.174, 6.1.120, 6.6.64, 6.11.11, 6.12.2 i nowsze. Ubuntu: pakiety z 19 lutego i 27 marca 2025 roku. Debian LTS: 1 marca 2025 roku. Red Hat: jądra z 15 i 16 kwietnia 2025 roku. Android: poziom poprawek zabezpieczeń 2025-04-05 lub nowszy |
Typ podatności | Odczyt poza zakresem pamięci; CWE-125 |
Ocena CVSS | 7.1/10 WYSOKA wg NVD i CISA (CVSS 3.1); Red Hat przy tej samej liczbie klasyfikuje wagę jako umiarkowaną. Atak lokalny, niskie uprawnienia wg CVSS, wysoki wpływ na poufność i dostępność, brak wpływu na integralność |
Wyobraź sobie magazyniera, który przyjmuje paletę i liczy kartony według listu przewozowego wypisanego przez samego dostawcę, zamiast policzyć zawartość. Jeśli dostawca wpisze złą liczbę, magazynier sięgnie na sąsiednią półkę i uzna cudzy towar za część dostawy.
Tak działał sterownik dźwięku USB. Każde urządzenie USB przedstawia się opisami, w których samo deklaruje ich długość. Sterownik ufał tej liczbie. Spreparowane urządzenie, np. udające kartę dźwiękową lub słuchawki, podawało zbyt krótką długość, a system czytał dane leżące obok w pamięci. Mogły to być fragmenty tego, co system robił przed chwilą, albo dane, które doprowadzały do zawieszenia maszyny.
💡 Jądro (kernel) to rdzeń systemu operacyjnego, zarządzający pamięcią i urządzeniami. Sterownik to część systemu obsługująca konkretny rodzaj sprzętu. Odczyt poza zakresem to błąd, w którym program czyta pamięć spoza przydzielonego mu obszaru. Poziom poprawek zabezpieczeń Androida to data widoczna w ustawieniach telefonu, określająca, które poprawki są zainstalowane. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Podłączenie słuchawek lub karty dźwiękowej USB | System odczytuje opisy urządzenia | Tak samo, bez objawów |
Podłączenie spreparowanego urządzenia USB | Błędne opisy zostają odrzucone | System czyta pamięć poza przydzielonym obszarem |
Zawartość pamięci systemu | Niedostępna dla urządzenia | Fragmenty mogą zostać ujawnione |
Stabilność komputera | Normalna praca | Możliwe zawieszenie lub awaria |
Telefon z Androidem w cudzych rękach | Zablokowany i chroniony | Wg Google oznaki ukierunkowanych ataków z użyciem tej luki |
źródło: Pexels, cottonbro studioPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka jest lokalna: nie da się jej wykorzystać przez internet. Źródła opisują napastnika różnie: opiekunowie jądra mówią o podłączonym spreparowanym urządzeniu USB, CVSS o zwykłym koncie w systemie, a CISA o napastniku uprzywilejowanym. CISA ocenia atak jako niezautomatyzowany, ze skutkiem technicznym częściowym. Zwykle jest to jeden z elementów łańcucha, a nie samodzielny atak.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Dostęp do urządzenia | T+0 | Fizyczny dostęp do telefonu, laptopa lub komputera (np. przejęty, zgubiony, pozostawiony bez nadzoru) albo konto w systemie | Możliwość podłączenia urządzenia USB |
2. Podłączenie | T+sekundy | Wpięcie spreparowanego urządzenia udającego sprzęt audio | Sterownik czyta błędne opisy |
3. Odczyt pamięci | T+sekundy do minut | Wykorzystanie odczytu poza zakresem, często razem z innymi lukami USB | Ujawnione fragmenty pamięci |
4. Dalsze kroki | T+minuty | Użycie odczytanych danych do obejścia zabezpieczeń lub odblokowania urządzenia w połączeniu z innymi błędami | Dostęp do danych na urządzeniu |
5. Skutki | T+godziny do dni | Kopiowanie danych lub awaria stanowiska | Wyciek danych lub przestój |
Luka nie umożliwia masowego ataku z internetu, ale jest wykorzystywana w atakach ukierunkowanych na konkretne urządzenia. Dla firm najważniejsze są telefony i laptopy, które opuszczają biuro, oraz komputery z łatwo dostępnymi portami USB.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zawieszanie się stanowisk z Linuksem, przestoje kas lub maszyn | Od chwili podłączenia urządzenia | 5 tys. do 50 tys. PLN (przestoje, diagnoza) |
Bezpieczeństwo danych | Ujawnienie danych z pamięci, w połączeniu z innymi lukami dostęp do danych na telefonie | Minuty do godzin przy fizycznym dostępie | 20 tys. do 150 tys. PLN (analiza, obsługa incydentu) |
Finansowy | Koszty specjalistów, wymiana urządzeń, skutki wycieku | Tygodnie | 20 tys. do 200 tys. PLN łącznie |
Reputacyjny | Wyciek poufnej korespondencji lub danych klientów z telefonu służbowego | Miesiące | 20 tys. do 200 tys. PLN (utracone zaufanie) |
Prawny | Przy wycieku danych osobowych obowiązek zgłoszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: urządzenia z jądrem Linux lub Androidem bez poprawki
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . ■ . . ← ŚREDNIE (telefony i laptopy poza biurem)
2 | . ● . . . ● serwery w zamkniętej serwerowni
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest średni (odczyt pamięci i awaria, skutek częściowy wg CISA), a prawdopodobieństwo średnie, bo atak wymaga fizycznego lub lokalnego dostępu (EPSS nieco powyżej 1%); ryzyko rośnie dla urządzeń mobilnych i osób narażonych na ataki ukierunkowane.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🟠 PILNIE | Sprawdzić poziom poprawek zabezpieczeń na telefonach służbowych z Androidem (2025-04-05 lub nowszy) | Do 3 dni | Administrator IT / MDM |
2 | 🟠 PILNIE | Zaktualizować telefony, które nie dostają już poprawek, lub zaplanować ich wymianę | Do 30 dni | CTO / CFO |
3 | 🟠 PILNIE | Sprawdzić, kiedy serwery i stanowiska z Linuksem ostatnio pobrały poprawki jądra od dostawcy | Do 7 dni | Administrator IT |
4 | 🟠 PILNIE | Zainstalować jądra z poprawką i zaplanować restarty | Do 14 dni | Administrator IT |
5 | 🟡 WAŻNIE | Na serwerach, gdzie dźwięk USB nie jest potrzebny, zablokować moduł dźwięku USB | Do 30 dni | Administrator IT |
6 | 🟡 WAŻNIE | Ograniczyć fizyczny dostęp do portów USB w serwerowni i na stanowiskach kasowych | Do 30 dni | Kierownik biura / administrator |
7 | 🟡 WAŻNIE | Przypomnieć pracownikom, by nie podłączali nieznanych urządzeń USB i nie zostawiali telefonów bez nadzoru | Do 30 dni | CTO / HR |
Poprawki wydali opiekunowie jądra, Ubuntu, Debian, Red Hat i Google, więc docelowo trzeba je zainstalować. Red Hat opisał jedno obejście; oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zablokowanie ładowania modułu dźwięku USB (zalecenie Red Hat, wymaga restartu) | Wysoka: usuwa podatny sterownik | Łatwa na serwerach; na stanowiskach biurowych odbiera słuchawki i mikrofony USB |
Blokada portów USB lub zasady dopuszczania tylko znanych urządzeń | Średnia do wysokiej | Średnia |
Kontrola fizycznego dostępu do serwerowni i stanowisk | Średnia | Łatwa do średniej |
Wymiana telefonów, które nie dostają poprawek Androida | Wysoka | Średnia: koszt sprzętu |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Telefony z Androidem | Poziom poprawek nieznany | Poziom 2025-04-05 lub nowszy potwierdzony |
Jądro Linux na serwerach | Poprawki pobierane nieregularnie | Jądro z poprawką, znana data ostatniej aktualizacji |
Moduł dźwięku USB na serwerach | Ładowany bez potrzeby | Zablokowany tam, gdzie zbędny |
Porty USB | Dostępne dla każdego | Ograniczone w serwerowni i przy kasach |
Zgodność z terminem CISA | Ponad 16 miesięcy zaległości | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Google: oznaki ograniczonego, ukierunkowanego wykorzystania (biuletyn Androida z kwietnia 2025 roku) |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.1 WYSOKA wg NVD i CISA (CVSS 3.1); Red Hat: ta sama liczba, waga umiarkowana |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Kto naprawił błąd | Takashi Iwai (opiekun podsystemu dźwięku), wprowadzenie do wydań stabilnych: Greg Kroah-Hartman |
Prognoza EPSS | Nieco powyżej 1% szansy próby wykorzystania w ciągu 30 dni (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2024-53150
CVSS 3.1 (NVD, CISA) 7.1/10 ██████████████░░░░░░ WYSOKA
EPSS (próba w 30 dni) ~1% ░░░░░░░░░░░░░░░░░░░░ niskie
CISA KEV TAK ████████████████████ ataki potwierdzone
Android (Google) TAK ████████████████░░░░ ataki ukierunkowane
Dostęp lokalny TAK ██████░░░░░░░░░░░░░░ nie z internetu 2024-11-25 Takashi Iwai podpisuje poprawkę sterownika
2024-12-05 Poprawka trafia do wydań stabilnych jądra
2024-12-24 Publikacja CVE-2024-53150 w NVD
2025-02-19 Ubuntu: pierwsze pakiety z poprawką (kolejne 27 marca)
2025-03-01 Debian LTS: pakiety z poprawką
2025-04 Biuletyn Androida: poprawka i oznaki ataków ukierunkowanych
2025-04-09 CISA dodaje lukę do katalogu KEV
2025-04-15 Red Hat: jądra z poprawką (kolejne 16 kwietnia)
2025-04-30 Termin naprawy wg CISA dla agencji federalnych
2026-09-17: TUTAJ JESTEŚMY Ogłoszenie opiekunów jądra: lore.kernel.org, CVE-2024-53150 . Biuletyn Androida: source.android.com, kwiecień 2025 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-53150 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić raport poziomu poprawek zabezpieczeń na telefonach służbowych z Androidem | CTO | DZISIAJ |
2 | Zapytać administratora, kiedy serwery z Linuksem ostatnio pobrały poprawki jądra | CTO | DZISIAJ |
3 | Zatwierdzić okna serwisowe na aktualizację jądra z restartem | CTO | DO JUTRA |
4 | Zidentyfikować telefony, które nie dostają już poprawek od producenta | CTO | DO JUTRA |
5 | Zatwierdzić budżet na wymianę niewspieranych telefonów | CFO | DO JUTRA |
6 | Sprawdzić, czy polisa obejmuje utratę danych z zagubionego lub skradzionego urządzenia | CFO | DO JUTRA |
7 | Wskazać osoby szczególnie narażone na ataki ukierunkowane (zarząd, negocjatorzy) i zadbać o aktualność ich urządzeń | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile telefonów służbowych ma poziom poprawek Androida starszy niż 2025-04-05? | [liczba] | 🔴 |
2 | Kiedy serwery z Linuksem ostatnio pobrały poprawki jądra od dostawcy? | [data] | 🟠 |
3 | Czy zainstalowane jądra zawierają poprawkę CVE-2024-53150 wg dostawcy dystrybucji? | TAK / NIE | 🟠 |
4 | Czy na serwerach ładowany jest moduł dźwięku USB, choć nie jest potrzebny? | TAK / NIE | 🟡 |
5 | Kto ma fizyczny dostęp do portów USB serwerów i stanowisk kasowych? | [lista] | 🟡 |
6 | Czy mamy telefony, dla których producent przestał wydawać poprawki? | TAK / NIE, [liczba] | 🟠 |
7 | Czy możemy zablokować podłączanie nieznanych urządzeń USB na stanowiskach? | TAK / NIE | 🟡 |
CVE-2024-53150 to błąd w sterowniku dźwięku USB jądra Linux, który pozwala spreparowanemu urządzeniu odczytać pamięć systemu lub zawiesić maszynę. Atak wymaga dostępu lokalnego, ale CISA i Google potwierdzają wykorzystanie w atakach ukierunkowanych, dlatego sprawdzenie poziomu poprawek na telefonach z Androidem i aktualizacja jądra na serwerach to zadania na najbliższe dni.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.