Błąd w funkcji eksportu WhatsUp Gold pozwala bez hasła wykonać polecenia na serwerze monitoringu, który zna całą sieć firmy. CISA potwierdza ataki, kod ataku jest publiczny. Zaktualizuj do 2023.1.3 lub nowszej i odetnij konsolę od internetu.
Ten alert jest dla zarządu, CTO i CFO firm, które monitorują sieć i serwery programem Progress WhatsUp Gold. Werdykt: jeśli WhatsUp Gold działa w wersji starszej niż 2023.1.3, zaktualizuj go dziś i odetnij konsolę od internetu, bo luka pozwala przejąć serwer bez logowania, a ataki są zautomatyzowane.
Amerykańska agencja CISA 3 marca 2025 roku dopisała podatność CVE-2024-4885 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd był publicznie opisany już od 25 czerwca 2024 roku, a poprawka istniała od tego czasu. Przez ponad osiem miesięcy wiele instalacji pozostało jednak bez aktualizacji.
WhatsUp Gold pilnuje, czy serwery, drukarki, przełączniki i łącza w firmie działają. Aby to robić, przechowuje spis wszystkich urządzeń, ich adresy i często dane logowania do nich. Błąd w funkcji eksportu plików pozwala napastnikowi bez konta i hasła wykonać polecenia na serwerze, na którym działa program. Wystarczy, że konsola jest osiągalna przez sieć.
Termin naprawy wyznaczony przez CISA minął 24 marca 2025 roku. Ocena CVSS wynosi 9.8 na 10, a producent i NVD są w niej zgodni.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-4885 |
Data dodania do CISA KEV | 2025-03-03 |
Termin naprawy wg CISA | 2025-03-24 (21 dni od wpisu) |
Produkt | Progress Software WhatsUp Gold (oprogramowanie do monitorowania sieci), konsola webowa |
Wersje zagrożone | Wszystkie wersje wydane przed 2023.1.3 według NVD i producenta (NVD nie podaje dolnej granicy). Europejska baza EUVD zawęża zakres do wydań od 2023.1.0, ale bezpieczniej przyjąć szerszy zakres. Warunek ataku: dostęp sieciowy do konsoli WhatsUp Gold |
Wersje bezpieczne | 2023.1.3 i nowsze (pierwsza wersja z poprawką). Zalecana najnowsza wersja z portalu producenta, bo w kolejnych biuletynach Progress łatał także inne luki |
Typ podatności | Przejście po ścieżce (path traversal) prowadzące do zdalnego wykonania kodu bez uwierzytelnienia; CWE-22 (wg producenta i CISA; NVD dodatkowo: brak wystarczających informacji) |
Ocena CVSS | NVD i Progress: 9.8 (CVSS 3.1, KRYTYCZNA). Atak przez sieć, niska złożoność, bez logowania i bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność |
Wyobraź sobie magazyniera, który dostaje polecenie „przynieś pudełko numer siedem z regału B”. Ktoś wpisuje w poleceniu drogę prowadzącą poza halę i magazynier bez zastanowienia przynosi cokolwiek z dowolnego miejsca, bo nikt nie sprawdził, czy wskazane miejsce mieści się w magazynie. Nie było fałszywej przepustki ani włamania, było tylko niesprawdzone polecenie.
Tak działa ta luka. Funkcja eksportu w WhatsUp Gold przyjmuje nazwę pliku i dokleja ją do ścieżki katalogu, nie sprawdzając, czy nazwa nie wyprowadza poza wyznaczony obszar. Napastnik wykorzystuje to do uruchamiania poleceń na serwerze. Polecenia działają na koncie obsługującym konsolę (iisapppool\nmconsole), a nie na koncie systemowym, ale to konto ma dostęp do tego, po co napastnik przychodzi: konfiguracji, listy urządzeń i zapisanych danych logowania.
💡 Przejście po ścieżce (path traversal) to sztuczka z nazwą pliku zawierającą polecenia „wróć o katalog wyżej”, dzięki której program sięga poza dozwolony obszar dysku. Zdalne wykonanie kodu (RCE) oznacza, że napastnik uruchamia na cudzym serwerze własne polecenia. Konsola to strona WWW, przez którą administratorzy obsługują program. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Ktoś z internetu otwiera adres konsoli | Widzi ekran logowania i bez hasła nic nie zrobi | Może wykonać polecenia na serwerze bez logowania |
Lista urządzeń w firmie | Widoczna tylko dla administratorów | Gotowa mapa sieci dla napastnika |
Zapisane hasła do przełączników, serwerów i komputerów | Używane tylko do monitoringu | Mogą posłużyć do logowania na inne urządzenia |
Serwer monitoringu współdzielony z innym systemem | Dwie role na jednej maszynie działają wygodnie | Przejęcie jednej roli dotyka drugiej |
Wybór ofiary | Atak wymagałby pracy ręcznej | Skanery automatycznie szukają konsol w internecie |
źródło: pexels.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie wymaga konta ani udziału użytkownika, a według oceny CISA atak da się zautomatyzować, więc największe ryzyko dotyczy konsol widocznych z internetu. Konsola dostępna tylko w sieci wewnętrznej też jest podatna, ale napastnik musi najpierw dostać się do tej sieci.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne przeszukiwanie internetu w poszukiwaniu konsol WhatsUp Gold | Lista serwerów do ataku |
2. Wykorzystanie | T+kilka minut | Wysłanie spreparowanego żądania do funkcji eksportu | Wykonanie poleceń na serwerze bez logowania |
3. Rozpoznanie | T+kilkadziesiąt minut | Odczyt konfiguracji, listy urządzeń i zapisanych danych logowania | Mapa sieci i hasła do urządzeń |
4. Podniesienie uprawnień | T+godziny | Szukanie kolejnego błędu lub użycie zdobytych haseł | Pełna kontrola nad serwerem |
5. Rozprzestrzenienie | T+1 do 7 dni | Logowanie na przełączniki, serwery i komputery zapisanymi danymi | Napastnik w całej sieci |
6. Skutek | T+dni do tygodni | Kradzież danych, sabotaż lub przygotowanie szyfrowania | Przestój i koszty obsługi incydentu |
Mogę Ci jakoś pomóc?
Narzędzie monitorujące to spis wszystkiego, co w firmie działa, często razem z hasłami. Przejęcie go oszczędza napastnikowi najbardziej czasochłonnej części włamania, czyli rozpoznania sieci. Brak wymogu logowania i automatyzacja ataków sprawiają, że wielkość firmy nie ma znaczenia.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie kluczowych urządzeń i serwerów, zatrzymanie sprzedaży lub produkcji | Godziny do dni | 50 tys. do 400 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież haseł do urządzeń, danych konfiguracyjnych i dalej danych firmy | Godziny | 30 tys. do 200 tys. PLN (analiza powłamaniowa, zmiana haseł) |
Finansowy | Koszty specjalistów, przestoju i ewentualnego okupu przy dalszej eskalacji | Tygodnie | 100 tys. do 900 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, pytania ubezpieczyciela o lukę znaną od 2024 roku | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Przy wycieku danych osobowych obowiązek zgłoszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z WhatsUp Gold starszym niż 2023.1.3
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy konsoli widocznej z internetu ryzyko jest krytyczne, bo atak nie wymaga logowania, jest zautomatyzowany, istnieje publiczny kod ataku, a skutkiem jest przejęcie narzędzia znającego całą sieć; gdy konsola jest dostępna wyłącznie wewnętrznie, prawdopodobieństwo spada, ale wpływ pozostaje ten sam.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję WhatsUp Gold i czy konsola jest osiągalna z internetu | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Jeśli konsola jest widoczna z internetu, zablokować do niej dostęp na zaporze | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować WhatsUp Gold do 2023.1.3 lub najnowszej wersji z portalu producenta | Dziś | Administrator sieci / partner IT |
4 | 🟠 PILNIE | Jeśli serwer był bez poprawki i dostępny z internetu, zmienić wszystkie hasła zapisane w WhatsUp Gold (przełączniki, serwery, konta Windows, SSH) | Do 3 dni | Administrator sieci |
5 | 🟠 PILNIE | Przejrzeć logi serwera WWW konsoli i nietypowe procesy na serwerze od czerwca 2024 | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Przenieść monitoring na osobną maszynę, jeśli dzieli serwer z innym systemem | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Dostęp spoza biura do konsoli tylko przez VPN | Do 30 dni | CTO |
Producent wydał poprawkę w czerwcu 2024 roku (wersja 2023.1.3), więc docelowo aktualizacja jest konieczna. Do czasu jej instalacji pomagają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zablokowanie dostępu do konsoli z internetu na zaporze | Wysoka wobec ataków z zewnątrz, nie chroni przed napastnikiem już w sieci | Łatwa |
Dostęp do konsoli tylko z wybranych adresów administratorów | Średnia do wysokiej | Średnia |
Ograniczenie zapisanych w programie haseł do kont o minimalnych uprawnieniach | Średnia: zmniejsza skutki przejęcia | Średnia |
Monitorowanie logów serwera WWW konsoli pod kątem nietypowych żądań eksportu | Niska jako ochrona, przydatna do wykrycia ataku | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja WhatsUp Gold | Starsza niż 2023.1.3, podatna | 2023.1.3 lub nowsza |
Dostęp do konsoli | Możliwy z internetu | Tylko z sieci firmy lub przez VPN |
Zapisane hasła do urządzeń | Potencjalnie znane napastnikowi | Zmienione, z minimalnymi uprawnieniami |
Serwer monitoringu | Współdzielony z innymi systemami | Osobna maszyna |
Zgodność z terminem CISA | Zaległość od 24 marca 2025 (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA ocenia wykorzystanie jako aktywne, atak jako możliwy do zautomatyzowania, a skutek techniczny jako całkowity |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, NVD i Progress) |
PoC dostępny publicznie? | TAK. Badacz, który zgłosił błąd 24 kwietnia 2024, opisał sposób ataku na blogu Summoning Team i opublikował kod ataku na GitHubie (repozytorium z lipca 2024) |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Około 99,3% szansy próby wykorzystania w ciągu 30 dni, górna jedna dziesiąta procenta wszystkich podatności (wg analizy źródłowej) |
Wszystkie sygnały wskazują w tę samą stronę, a luka czekała na wpis do KEV ponad osiem miesięcy od publikacji:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2024-4885
CVSS 3.1 (NVD, Progress) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~99% ████████████████████ BARDZO WYSOKA
Publiczny kod ataku TAK ████████████████████ od lipca 2024
Automatyzacja (CISA) TAK ████████████████████ masowe skanowanie
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2024-04-24 Badacz zgłasza lukę producentowi
2024-06 Progress publikuje biuletyn i wersję 2023.1.3 z poprawką
2024-06-25 Publikacja CVE-2024-4885 w NVD
2024-07-03 Publikacja porady ZDI
2024-07-08 Publiczny kod ataku na GitHubie
2025-03-03 CISA dodaje lukę do katalogu KEV
2025-03-24 Termin naprawy wg CISA dla agencji federalnych
... prawie 18 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta: community.progress.com/s/article/WhatsUp-Gold-Security-Bulletin-June-2024 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-4885 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub partner IT używa WhatsUp Gold | CTO | DZISIAJ |
2 | Uzyskać informację o wersji i o tym, czy konsola jest widoczna z internetu | CTO | DZISIAJ |
3 | Zatwierdzić blokadę dostępu z internetu i natychmiastową aktualizację | CTO | DZISIAJ |
4 | Zlecić zmianę haseł zapisanych w programie, jeśli serwer był podatny i dostępny | CTO | DO JUTRA |
5 | Zlecić przegląd logów serwera monitoringu | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową i ewentualne rozdzielenie ról serwera | CFO | DO JUTRA |
7 | Sprawdzić, czy umowa serwisowa z partnerem IT obejmuje aktualizacje narzędzi monitorujących | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja WhatsUp Gold jest zainstalowana? | [wersja] | 🔴 |
2 | Czy konsola WhatsUp Gold jest osiągalna z internetu? | TAK / NIE | 🔴 |
3 | Kiedy ostatnio aktualizowano WhatsUp Gold? | [data] | 🔴 |
4 | Jakie dane logowania są zapisane w programie i jakie mają uprawnienia? | [lista kont] | 🟠 |
5 | Czy przejrzano logi serwera konsoli od czerwca 2024? | TAK / NIE, [data przeglądu] | 🟠 |
6 | Czy serwer monitoringu pełni też inne role? | TAK / NIE, [jakie] | 🟡 |
7 | Czy dostęp administratorów spoza biura odbywa się wyłącznie przez VPN? | TAK / NIE | 🟡 |
CVE-2024-4885 pozwala bez logowania przejąć serwer z Progress WhatsUp Gold starszym niż 2023.1.3, a wraz z nim mapę sieci i zapisane hasła do urządzeń. Poprawka istnieje od czerwca 2024 roku, publiczny kod ataku od lipca 2024, a termin CISA minął 24 marca 2025 roku, więc aktualizacja i odcięcie konsoli od internetu to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.