Błąd w sterowniku dźwięku USB jądra Linux pozwala podstawionym urządzeniem zapisać dane w pamięci jądra i przejąć system, także na Androidzie. CISA potwierdza ataki. Zaktualizuj jądro z restartem i sprawdź telefony.
Ten alert jest dla zarządu, CTO i CFO firm, które używają serwerów i komputerów z Linuksem, telefonów z Androidem lub urządzeń opartych na jądrze Linux. Werdykt: jeśli system nie ma poprawek jądra z przełomu 2024 i 2025 roku (lub telefon z Androidem nie ma poziomu zabezpieczeń z 1 kwietnia 2025 roku lub nowszego), zaplanuj aktualizację z restartem w tym tygodniu, bo luka pozwala podstawionym urządzeniem USB przejąć system i była wykorzystywana w celowanych atakach.
Amerykańska agencja CISA 9 kwietnia 2025 roku dopisała podatność CVE-2024-53197 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w sterowniku dźwięku USB jądra Linux, w kodzie obsługującym stare karty Creative Extigy i Digidesign Mbox. Podstawione urządzenie USB może podać fałszywe dane o swojej konfiguracji i doprowadzić do zapisu poza przydzielonym obszarem pamięci jądra.
Kod jest obecny w jądrze niezależnie od tego, czy ktoś ma te karty, a zakres podatnych wersji zaczyna się od jądra 2.6.12. Google w biuletynie Androida z kwietnia 2025 roku wskazał na „ograniczone, celowane wykorzystanie” tej luki. Termin naprawy wyznaczony przez CISA agencjom federalnym minął 30 kwietnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-53197 |
Data dodania do CISA KEV | 2025-04-09 |
Termin naprawy wg CISA | 2025-04-30 |
Produkt | Jądro Linux (sterownik ALSA usb-audio); dotyczy dystrybucji Linux (m.in. Ubuntu, Red Hat Enterprise Linux, Debian 11) oraz Androida |
Wersje zagrożone | Jądro od 2.6.12 do wersji niższych niż: 4.19.325, 5.4.287, 5.10.231, 5.15.174, 6.1.120, 6.6.64, 6.11.11, 6.12.2 (w zależności od linii) |
Wersje bezpieczne | Jądro 4.19.325, 5.4.287, 5.10.231, 5.15.174, 6.1.120, 6.6.64, 6.11.11, 6.12.2 i nowsze. W dystrybucjach: aktualne jądro od dostawcy (Ubuntu od 19 lutego 2025 roku, Red Hat od 10 i 11 marca 2025 roku). Android: poziom zabezpieczeń 2025-04-01 lub nowszy |
Typ podatności | Zapis poza granicami bufora; CWE-787 (Red Hat opisuje jako klasyczne przepełnienie bufora) |
Ocena CVSS | CISA: 7.8 (CVSS 3.1, WYSOKA). Canonical: 7.8. Red Hat: 5.8 (ŚREDNIA, uznaje atak za trudny). Atak lokalny: fizyczny dostęp do portu USB lub, wg Red Hat, utworzenie wirtualnego urządzenia w systemie |
Wyobraź sobie hostel, w którym gość rezerwuje trzy kapsuły do spania i recepcja przygotowuje trzy karty. Przy zameldowaniu gość mówi, że kapsuł jest pięć. Recepcjonista nie sprawdza tego w rejestrze i wydaje karty do dwóch kapsuł zajętych przez innych gości. Wystarczyło jedno porównanie liczby zadeklarowanej z zapisaną, i tego właśnie zabrakło.
Tak działał błąd w jądrze Linux. Urządzenie USB przedstawia się systemowi i podaje, ile ma zestawów ustawień, a system rezerwuje na nie pamięć. Podstawione urządzenie podawało później większą liczbę i system zapisywał dane w obszarze, którego nie zarezerwował. Zapis poza zakresem jest groźniejszy niż odczyt: według CISA i Red Hat może prowadzić do podniesienia uprawnień, a nawet wykonania kodu w najgłębszej warstwie systemu, gdzie nie działa już żadna ochrona.
💡 Jądro (kernel) to rdzeń systemu operacyjnego z najwyższymi uprawnieniami. Sterownik to kod obsługujący konkretny rodzaj sprzętu. ALSA to podsystem dźwięku w Linuksie. Zapis poza granicami bufora (out-of-bounds write) to błąd, w którym program zapisuje dane poza przydzielonym mu obszarem pamięci. Urządzenie wirtualne to urządzenie istniejące tylko jako oprogramowanie. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Ktoś podłącza nieznane urządzenie USB | System rozpoznaje sprzęt i przydziela pamięć | Fałszywe dane urządzenia prowadzą do zapisu w pamięci jądra |
Brak starych kart dźwiękowych w firmie | Sterownik nieużywany | Kod i tak jest w systemie i można go wywołać |
Telefon z Androidem w rękach osoby trzeciej | Zablokowany ekran chroni dane | Luka mogła służyć do obejścia zabezpieczeń w celowanych atakach |
Konta zdalne, wykonawcy, usługi na serwerze | Ograniczone uprawnienia | Wg Red Hat możliwe użycie urządzenia wirtualnego bez fizycznego dostępu |
Skutek udanego ataku | Brak | Pełna kontrola nad systemem, konieczność postawienia go od nowa |
źródło: Pexels, Rufina RusakovaPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie działa przez sieć: wymaga podłączenia urządzenia do portu USB albo możliwości utworzenia urządzenia wirtualnego na maszynie. Dlatego to atak na wybrany cel, a nie masowe skanowanie internetu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T+dni | Zbudowanie urządzenia USB (lub narzędzia) podającego fałszywą konfigurację | Gotowe narzędzie |
2. Dostęp | T+0 min | Fizyczny dostęp do komputera, serwera lub telefonu, albo konto na maszynie | Możliwość podłączenia urządzenia |
3. Podłączenie | T+1 min | Wpięcie urządzenia do portu USB lub utworzenie urządzenia wirtualnego | Wywołanie błędu w sterowniku |
4. Przejęcie jądra | T+1 do 5 min | Wykorzystanie zapisu poza zakresem, zwykle w połączeniu z innymi lukami | Najwyższe uprawnienia w systemie |
5. Wykorzystanie | T+minuty do godzin | Odczyt danych, instalacja narzędzi, obejście blokady urządzenia | Dostęp do danych i kont |
6. Ukrycie | T+godziny | Ukrycie śladów na poziomie jądra | Brak wiarygodnego sposobu sprawdzenia systemu od środka |
Ryzyka systemu nie da się ocenić po tym, jaki sprzęt firma faktycznie ma: liczy się to, co system potrafi obsłużyć. Luka nie jest dostępna z internetu, ale jej skutkiem jest pełna kontrola nad maszyną, a po takim incydencie system trzeba stawiać od nowa.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odtworzenie przejętych serwerów lub stacji z kopii, restart i okna serwisowe | Dni | 10 tys. do 150 tys. PLN (odbudowa, praca administratora) |
Bezpieczeństwo danych | Wyciek danych z przejętego komputera, serwera lub telefonu | Minuty do godzin | 20 tys. do 150 tys. PLN (analiza śledcza, obsługa incydentu) |
Finansowy | Koszty dalszego incydentu, wymiana urządzeń mobilnych | Tygodnie | 20 tys. do 300 tys. PLN łącznie |
Reputacyjny | Ujawnienie danych klientów lub poufnych informacji z urządzeń kadry | Miesiące | 20 tys. do 200 tys. PLN (utracone zaufanie) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli dotyczy danych osobowych; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla systemów z jądrem Linux bez poprawki
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE (dostępne porty, urządzenia mobilne)
3 | . . . . .
2 | □ . . . . ← NISKIE (serwer w zamkniętej szafie)
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: luka wymaga fizycznego lub lokalnego dostępu, więc prawdopodobieństwo jest niższe niż przy lukach sieciowych; wpływ jest wysoki, bo skutkiem może być pełne przejęcie systemu. Najbardziej narażone są telefony z Androidem i komputery w miejscach publicznych, najmniej serwery w zamkniętej serwerowni bez kont zewnętrznych.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić poziom zabezpieczeń na telefonach służbowych z Androidem (wymagany 2025-04-01 lub nowszy) | Dziś | Dział IT / użytkownicy |
2 | 🟠 PILNIE | Zainstalować aktualne jądro od dostawcy dystrybucji na serwerach i komputerach z Linuksem i wykonać restart | Do 7 dni | Administrator |
3 | 🟠 PILNIE | Potwierdzić po restarcie, że działa nowe jądro, a nie tylko zostało zainstalowane | Do 7 dni | Administrator |
4 | 🟠 PILNIE | Wymienić telefony z Androidem, które nie dostają już poprawek bezpieczeństwa | Do 30 dni | CFO / dział IT |
5 | 🟡 WAŻNIE | Na maszynach bez potrzeby obsługi dźwięku USB zablokować ładowanie modułu (obejście Red Hat) | Do 30 dni | Administrator |
6 | 🟡 WAŻNIE | Ograniczyć fizyczny dostęp do portów USB w komputerach w miejscach publicznych i na halach | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wprowadzić zasadę niepodłączania nieznanych urządzeń USB do sprzętu firmowego | Do 30 dni | CTO |
Poprawki są dostępne we wszystkich utrzymywanych liniach jądra i u głównych dostawców dystrybucji, a dla Androida w biuletynie z kwietnia 2025 roku. Dla maszyn, których nie da się od razu zaktualizować, Red Hat opisał obejście. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zablokowanie ładowania modułu dźwięku USB (snd-usb-audio) wg Red Hat | Wysoka wobec tej luki | Średnia: wymaga restartu, wyłącza dźwięk przez USB |
Fizyczne zabezpieczenie lub wyłączenie portów USB | Średnia do wysokiej wobec ataku fizycznego | Średnia |
Ograniczenie kont zewnętrznych i uprawnień na serwerach | Średnia wobec wariantu z urządzeniem wirtualnym | Średnia |
Wymiana telefonów bez wsparcia producenta | Pełna dla urządzeń mobilnych | Kosztowna |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Jądro na serwerach i komputerach | Zainstalowane poprawki, ale bez restartu lub bez aktualizacji | Nowe jądro działa po restarcie |
Telefony z Androidem | Poziom zabezpieczeń sprzed kwietnia 2025 roku | 2025-04-01 lub nowszy, urządzenia bez wsparcia wymienione |
Porty USB w miejscach publicznych | Dostępne dla każdego | Zabezpieczone lub wyłączone |
Zasady dotyczące urządzeń USB | Brak | Spisane i przekazane pracownikom |
Zgodność z terminem CISA | Zaległość od 30 kwietnia 2025 roku (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Google w biuletynie Androida z kwietnia 2025 roku: oznaki ograniczonego, celowanego wykorzystania |
Grupy przestępcze | Brak publicznych informacji w zweryfikowanych źródłach |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA wg CISA i Canonical; 5.8 ŚREDNIA wg Red Hat (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji; charakter ataków celowany |
Powiązania | Luka z tej samej grupy błędów jądra co CVE-2024-50302 (warstwa HID), wykorzystywana w celowanych atakach na urządzenia z Androidem wg biuletynów Google |
Różnica 7.8 i 5.8 wynika z oceny złożoności ataku: CISA i Canonical uznają go za prosty, Red Hat za wymagający sprzyjających warunków. Dla decyzji biznesowej ważniejsze jest potwierdzone wykorzystanie.
Sygnały zagrożenia dla CVE-2024-53197
CVSS 3.1 (CISA) 7.8/10 ████████████████░░░░ WYSOKA
CVSS 3.1 (Red Hat) 5.8/10 ████████████░░░░░░░░ ŚREDNIA
CISA KEV TAK ████████████████████ ataki potwierdzone
Android (Google) TAK ████████████████████ celowane wykorzystanie
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2024-12-27 Publikacja CVE-2024-53197 (poprawki w liniach stabilnych
jądra)
2025-02-19 Pierwsze poprawki jądra w Ubuntu
2025-03-10 Poprawki Red Hat (także 2025-03-11)
2025-04-01 Biuletyn Androida: poprawka i oznaki celowanego
wykorzystania
2025-04-09 CISA dodaje lukę do katalogu KEV
2025-04-30 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 17 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Ogłoszenie zespołu jądra Linux: lore.kernel.org: CVE-2024-53197 . Biuletyn Androida: source.android.com: biuletyn z 1 kwietnia 2025 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-53197 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Polecić sprawdzenie poziomu zabezpieczeń na telefonach służbowych z Androidem | CTO | DZISIAJ |
2 | Uzyskać listę serwerów i komputerów z Linuksem z wersją działającego jądra | CTO | DZISIAJ |
3 | Zatwierdzić okno serwisowe z restartem serwerów | CTO | DO JUTRA |
4 | Zatwierdzić wymianę telefonów bez wsparcia producenta | CFO | DO JUTRA |
5 | Wskazać komputery z dostępnymi portami USB w miejscach publicznych i na halach | CTO | DO JUTRA |
6 | Zatwierdzić zasadę niepodłączania nieznanych urządzeń USB | CFO | DO JUTRA |
7 | Sprawdzić, czy dostawca systemu ma krótki czas wydawania poprawek jądra | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaki poziom zabezpieczeń mają telefony służbowe z Androidem? | [poziom zabezpieczeń] | 🔴 |
2 | Jaka wersja jądra działa na naszych serwerach i komputerach z Linuksem? | [wersja] | 🔴 |
3 | Czy po instalacji poprawek jądra wykonano restart? | TAK / NIE, [data] | 🟠 |
4 | Ile telefonów służbowych nie dostaje już aktualizacji? | [liczba] | 🟠 |
5 | Czy komputery w miejscach publicznych mają dostępne porty USB? | TAK / NIE | 🟠 |
6 | Czy na serwerach działają konta wykonawców lub osób spoza firmy? | TAK / NIE | 🟡 |
7 | Czy mamy zasady dotyczące podłączania urządzeń USB do sprzętu firmowego? | TAK / NIE | 🟡 |
CVE-2024-53197 pozwala podstawionym urządzeniem USB, a według Red Hat także urządzeniem wirtualnym, zapisać dane poza pamięcią przydzieloną w jądrze Linux i przejąć system. CISA potwierdza wykorzystanie, a Google wskazuje na celowane ataki na urządzenia z Androidem, więc sprawdzenie telefonów służbowych to zadanie na dziś, a aktualizacja jądra z restartem i zabezpieczenie portów USB na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.