Przepełnienie bufora w Active! mail 6 pozwala bez logowania przejąć lub zatrzymać serwer poczty jednym spreparowanym żądaniem. CISA potwierdza ataki. Zaktualizuj do kompilacji 6.60.05008562 lub nowszej.
Ten alert jest dla zarządu, CTO i CFO firm, które korzystają z serwera poczty Active! mail 6 firmy Qualitia (spotykanego głównie u firm powiązanych z rynkiem japońskim). Werdykt: jeśli Active! mail 6 ma kompilację 6.60.05008561 lub starszą, zaktualizuj go dziś, bo jedno spreparowane żądanie pozwala bez logowania przejąć serwer poczty, a CISA potwierdza ataki.
Amerykańska agencja CISA 28 kwietnia 2025 roku dopisała podatność CVE-2025-42599 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy Active! mail 6, oprogramowania pocztowego japońskiej spółki Qualitia.
To przepełnienie bufora na stosie: napastnik bez konta i hasła wysyła do serwera specjalnie przygotowane, za długie żądanie, którego program nie sprawdza pod kątem rozmiaru. Nadmiar danych nadpisuje sąsiedni obszar pamięci, w tym adres powrotu programu. W efekcie napastnik może wykonać własny kod na serwerze albo doprowadzić do jego zatrzymania (odmowa usługi).
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 19 maja 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-42599 (JVN22348866) |
Data dodania do CISA KEV | 2025-04-28 |
Termin naprawy wg CISA | 2025-05-19 (21 dni od wpisu) |
Produkt | Qualitia Active! mail 6 (serwer poczty) |
Wersje zagrożone | Active! mail 6, kompilacja 6.60.05008561 i wcześniejsze (NVD: wersje przed 6.60.05008562) |
Wersje bezpieczne | Active! mail 6, kompilacja 6.60.05008562 i nowsze (poprawka producenta z 18 kwietnia 2025) |
Typ podatności | Przepełnienie bufora na stosie prowadzące do wykonania kodu lub odmowy usługi; CWE-121 |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD (CVSS 3.1) oraz JPCERT (CVSS 3.0), identyczna wartość. Atak przez sieć, bez uprawnień i bez udziału użytkownika |
Wyobraź sobie formularz z rubryką na imię, długą na dwadzieścia kratek, a pod nią wydrukowaną instrukcję dla urzędnika: „po wypełnieniu przekaż do pokoju 12”. Ktoś wpisuje dwieście znaków, tekst wychodzi poza rubrykę i zamazuje instrukcję, a na jej miejscu pojawia się nowa: „przekaż osobie czekającej na zewnątrz”. Urzędnik wykonuje to, co ma przed oczami.
Serwer poczty Active! mail przyjmował żądania z sieci i nie sprawdzał, czy nie są za długie. Nadmiar danych nadpisywał informacje sterujące programem, w tym adres, pod który program miał wrócić. Starannie przygotowany nadmiar oznacza przejęcie serwera; niedbały oznacza jego zatrzymanie. Wejście jest to samo: jedno żądanie z internetu.
💡 Serwer poczty to system, przez który firma wysyła i odbiera e-maile. Przepełnienie bufora na stosie to błąd, w którym za duże dane nadpisują obszar pamięci sterujący programem. Odmowa usługi (DoS) to unieruchomienie systemu. Wykonanie kodu to uruchomienie przez napastnika własnego programu na serwerze. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Serwer odbiera żądanie | Przetwarza je poprawnie | Za długie żądanie nadpisuje pamięć |
Napastnik bez konta | Nie ma dostępu do serwera | Może wysłać żądanie przejmujące serwer |
Serwer poczty | Wysyła i odbiera pocztę | Może przestać działać albo zostać przejęty |
Korespondencja z klientami | Poufna | Może być czytana i podrabiana przez napastnika |
Wersja z poprawką (6.60.05008562) | Sprawdza rozmiar żądania | Atak nie działa |
źródło: Pexels, cottonbro studioPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Serwery poczty są z natury dostępne z internetu, więc atak nie wymaga wcześniejszego dostępu do firmy. CISA oceniła, że atak da się zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie w internecie serwerów Active! mail i ustalanie wersji | Lista celów |
2. Atak na dostępność | T+minuty | Wysłanie niedbale przygotowanego żądania | Serwer poczty się zatrzymuje |
3. Przejęcie | T+minuty do godzin | Wysłanie starannie przygotowanego żądania z kodem napastnika | Kod działa na serwerze poczty |
4. Odczyt poczty | T+godziny | Czytanie korespondencji: faktury, kwoty, terminy, kontrahenci | Wiedza do oszustwa finansowego |
5. Podszycie się | T+dni | Wysłanie z prawdziwego adresu firmy wiadomości ze zmienionym numerem konta | Przelew klienta na konto napastnika |
6. Dalsze wejście | T+dni | Wykorzystanie serwera jako przyczółka do sieci firmy | Szersze włamanie |
Mogę Ci jakoś pomóc?
Serwer poczty to jednocześnie kanał kontaktu z klientami i archiwum poufnej korespondencji. Jego zatrzymanie odcina firmę od świata, a przejęcie otwiera drogę do oszustw finansowych trudnych do wykrycia, bo prowadzonych z prawdziwego adresu.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Brak wysyłania i odbierania poczty, utracone zapytania i zamówienia | Minuty od ataku | 10 tys. do 150 tys. PLN (przestój, utracone zlecenia) |
Bezpieczeństwo danych | Wyciek korespondencji, danych kontrahentów, załączników | Godziny od przejęcia | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Oszustwo z podmianą numeru konta na fakturze, koszty specjalistów | Dni | 20 tys. do 500 tys. PLN, zależnie od kwoty przelewu |
Reputacyjny | Utrata zaufania klientów, którzy zapłacili oszustowi w imieniu firmy | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Active! mail 6 <= 6.60.05008561
dostępnego z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest pełny (przejęcie serwera poczty albo jego zatrzymanie), a prawdopodobieństwo wysokie (brak logowania, automatyzacja, ataki potwierdzone); niski wskaźnik EPSS wynika z tego, że program jest niszowy, a nie z tego, że atak jest trudny, więc dla firmy, która go używa, ryzyko pozostaje wysokie.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma używa Active! mail 6 i jaką ma kompilację | Dziś | CTO / administrator poczty |
2 | 🔴 NATYCHMIAST | Zaktualizować Active! mail do kompilacji 6.60.05008562 lub nowszej | Dziś | Administrator poczty |
3 | 🟠 PILNIE | Ograniczyć dostęp do serwera poczty z internetu tylko do potrzebnych usług i sieci | Do 3 dni | Administrator sieci |
4 | 🟠 PILNIE | Przejrzeć logi serwera pod kątem nietypowych żądań i awarii od kwietnia 2025 roku | Do 3 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Ostrzec pracowników i księgowość, by potwierdzali zmiany numerów kont na fakturach innym kanałem (telefonicznie) | Do 7 dni | Kierownik finansów |
6 | 🟡 WAŻNIE | Wprowadzić zasadę weryfikacji dwuetapowej dla zmian danych do płatności | Do 30 dni | CFO |
7 | 🟡 WAŻNIE | Ustalić cykl aktualizacji serwera poczty i dopisać go do rejestru systemów | Do 30 dni | CTO |
Producent wydał poprawioną kompilację 6.60.05008562, więc aktualizacja jest właściwą drogą. Do czasu jej wykonania ryzyko ograniczają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie dostępu do serwera poczty z internetu do niezbędnego minimum | Średnia do wysokiej: zmniejsza grono napastników, ale poczta z natury musi przyjmować ruch | Średnia |
Filtr lub zapora aplikacyjna odrzucająca nadmiarowo długie żądania | Średnia: zależy od tego, czy potrafi rozpoznać atak | Średnia |
Weryfikacja zmian numerów kont na fakturach osobnym kanałem | Wysoka wobec oszustw finansowych, nie chroni serwera | Łatwa |
Monitorowanie dostępności i awarii serwera poczty | Niska jako ochrona, przydatna do wykrycia ataku | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Obsługa żądań | Brak sprawdzania rozmiaru | Poprawione w wersji 6.60.05008562 |
Dostęp z internetu | Serwer otwarty szeroko | Ograniczony do niezbędnego minimum |
Weryfikacja płatności | Numer konta z e-maila przyjmowany wprost | Potwierdzany osobnym kanałem |
Widoczność | Brak przeglądu logów | Logi przejrzane od kwietnia 2025 roku |
Wiedza o wersji | Nieznana | Zapisana w rejestrze, aktualizacje zaplanowane |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA ocenia wykorzystanie jako aktywne, automatyzowalne, z całkowitym wpływem technicznym |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD (CVSS 3.1) i JPCERT (CVSS 3.0), ta sama wartość |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił | Zgłoszenie przez japoński zespół JPCERT (wpis JVN22348866); klasyfikację błędu w KEV przejęto od JPCERT |
Prognoza EPSS | Około 3% szansy próby wykorzystania w 30 dni (wg analizy źródłowej); niska wartość wynika z niszowości programu, nie z trudności ataku |
Dwa źródła podają tę samą ocenę 9.8 w różnych wersjach skali (NVD w 3.1, JPCERT w 3.0), co jest różnicą wyłącznie formalną. Niski EPSS przy ocenie krytycznej i potwierdzonych atakach to typowy obraz programu używanego głównie w jednym kraju: mało ruchu w skali internetu, ale realne ryzyko dla firmy, która akurat go używa.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-42599
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.0 (JPCERT) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~3% █░░░░░░░░░░░░░░░░░░░ niski (program niszowy)
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-04-18 Publikacja CVE w NVD i komunikatu producenta z poprawką
2025-04-28 CISA dodaje lukę do katalogu KEV
2025-05-19 Termin naprawy wg CISA dla agencji federalnych
... ponad rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta z informacją o poprawce: qualitia.com, komunikat z 18.04.2025 . Wpis JPCERT: jvn.jp/en/jp/JVN22348866 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-42599 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa Active! mail 6 i kto nim administruje | CTO | DZISIAJ |
2 | Uzyskać dokładny numer kompilacji serwera poczty | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację do 6.60.05008562 lub nowszej | CTO | DZISIAJ |
4 | Zlecić przegląd logów serwera pod kątem śladów ataku | CTO | DO JUTRA |
5 | Wprowadzić w księgowości potwierdzanie zmian numerów kont osobnym kanałem | CFO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić, czy inne wystawione do internetu usługi są objęte podobnymi lukami | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy serwera poczty Active! mail 6? | TAK / NIE | 🔴 |
2 | Jaka jest kompilacja Active! mail? | [numer kompilacji] | 🔴 |
3 | Kiedy zaktualizowano serwer do 6.60.05008562 lub nowszej? | [data] | 🔴 |
4 | Czy serwer poczty jest dostępny z internetu szerzej, niż to konieczne? | TAK / NIE | 🟠 |
5 | Czy przejrzano logi serwera pod kątem awarii i nietypowych żądań od kwietnia 2025 roku? | TAK / NIE, [data] | 🟠 |
6 | Czy księgowość potwierdza zmiany numerów kont osobnym kanałem? | TAK / NIE | 🟠 |
7 | Kto odpowiada za aktualizacje serwera poczty i jak często je wykonuje? | [osoba, częstotliwość] | 🟡 |
CVE-2025-42599 pozwala bez logowania przejąć lub zatrzymać serwer poczty Active! mail 6 jednym spreparowanym żądaniem. Poprawka jest w kompilacji 6.60.05008562, a CISA potwierdza ataki, więc aktualizacja serwera i ostrzeżenie księgowości przed oszustwami z podmianą numeru konta to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.