Wstrzyknięcie SQL w Advantive VeraCore pozwala bez logowania sięgnąć do bazy zamówień. Lukę wykorzystywała grupa XE Group, CISA potwierdza ataki. Sprawdź wersję i zaktualizuj do 2025.1.1.3.
Ten alert jest dla zarządu, CTO i CFO firm, które prowadzą magazyn i realizację zamówień w systemie Advantive VeraCore, u siebie albo u zewnętrznego operatora logistycznego. Werdykt: jeśli VeraCore działa w wersji starszej niż 2025.1.1.3, zaktualizuj go lub odetnij od internetu dziś, bo luka pozwala bez logowania sięgnąć do bazy zamówień i była wykorzystywana przez grupę przestępczą XE Group.
Amerykańska agencja CISA 10 marca 2025 roku dopisała podatność CVE-2025-25181 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Tego samego dnia trafiła tam druga luka w tym samym produkcie, CVE-2024-57968 (nieograniczone wgrywanie plików). Obie były używane przez tę samą grupę.
CVE-2025-25181 to wstrzyknięcie SQL w podstronie, która wyświetla ostrzeżenie o wygasającej sesji. Napastnik z dostępem sieciowym do aplikacji może bez konta i hasła wydawać własne polecenia bazie danych systemu. Termin naprawy wyznaczony przez CISA minął 31 marca 2025 roku, czyli ponad półtora roku temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-25181 (powiązana luka w KEV: CVE-2024-57968) |
Data dodania do CISA KEV | 2025-03-10 |
Termin naprawy wg CISA | 2025-03-31 (21 dni od wpisu) |
Produkt | Advantive VeraCore, system do zarządzania magazynem i realizacją zamówień (fulfillment) |
Wersje zagrożone | Opis NVD: wydania do 2025.1.0 włącznie. Techniczne dopasowanie NVD: wszystkie wydania starsze niż 2025.1.1.3. Dla bezpieczeństwa przyjmij szerszy zakres |
Wersje bezpieczne | 2025.1.1.3 i nowsze (wydanie wskazane przez CISA jako zawierające poprawkę). Najnowszą dostępną wersję potwierdź u producenta, publiczne źródła jej nie podają |
Typ podatności | Wstrzyknięcie SQL (SQL Injection), CWE-89 |
Ocena CVSS | NVD: 7.5 (CVSS 3.1, WYSOKA, pełna utrata poufności). MITRE: 5.8 (CVSS 3.1, ŚREDNIA, częściowa utrata poufności). Obie: atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie magazyn, w którym na tablicy przy wejściu wisi kartka „za 5 minut zamykamy”. Nikt nie traktuje tej kartki jak części systemu bezpieczeństwa. Tymczasem okazało się, że kto dopisze coś na tej kartce, może wydać polecenie magazynierowi, a ten je wykona bez sprawdzania, kto je wydał: „przynieś mi segregator z danymi wszystkich klientów”.
Tak działała ta luka. Najmniej ważna podstrona systemu, czyli komunikat o wygasającej sesji, przekazywała do bazy danych treść, której nikt nie sprawdzał. Ekran logowania mógł być zabezpieczony wzorowo, ale do bazy prowadziły boczne drzwi, o których nikt nie myślał.
💡 SQL to język, którym aplikacja „rozmawia” z bazą danych. Wstrzyknięcie SQL oznacza, że napastnik przemyca do tej rozmowy własne polecenia, a baza wykonuje je jak polecenia aplikacji. Fulfillment to obsługa zamówień od przyjęcia, przez pakowanie, po wysyłkę, często w imieniu innych firm. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba otwiera adres systemu | Widzi ekran logowania i nic więcej | Może przez jedną podstronę wydawać polecenia bazie danych |
Dane zamówień i klientów | Dostępne tylko dla zalogowanych pracowników | Mogą zostać odczytane bez konta i hasła |
Konta i hasła pracowników | Chronią dostęp do systemu | Nie mają znaczenia dla tej drogi ataku |
Magazyn prowadzony dla klientów firmy | Dane kontrahentów bezpieczne | Wyciek dotyczy danych klientów Twoich klientów |
Wykrycie problemu | Nieudane logowania widoczne w logach | Brak nieudanych logowań, bo nikt się nie logował |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności, a nie odtworzenie konkretnego incydentu. Luka nie wymaga logowania, a CISA ocenia jej wykorzystanie jako możliwe do zautomatyzowania, więc wystarczy, że panel VeraCore jest widoczny z internetu. Badacze z Intezer i Solis Security opisali, że grupa XE Group łączyła tę lukę z drugą (CVE-2024-57968), żeby zostawić na serwerze stały, ukryty dostęp.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Automatyczne wyszukiwanie w internecie serwerów z VeraCore | Lista firm z widocznym panelem |
2. Wejście do bazy | T+kilka minut | Wykorzystanie luki na wybranym serwerze, bez konta | Dostęp do danych w bazie systemu |
3. Kradzież danych | T+godziny | Pobranie danych zamówień, klientów, adresów, konfiguracji | Dane poza firmą |
4. Utrwalenie | T+1 do 7 dni | Pozostawienie ukrytego dostępu na serwerze (w opisanych atakach przez drugą lukę) | Możliwość powrotu mimo zmiany haseł |
5. Uśpienie | Miesiące do lat | Ciche utrzymywanie dostępu; badacze opisali przypadek dostępu trwającego ponad cztery lata | Firma nie wie, że jest obserwowana |
6. Wykorzystanie | Dowolny moment | Sprzedaż danych, oszustwa na klientach, dalszy atak na partnerów | Straty finansowe i prawne |
System magazynowy to serce operacji: zamówienia, stany, dane klientów i warunki handlowe. Luka dostępna bez logowania oznacza, że wielkość firmy nie ma znaczenia, bo automatyczne skanowanie szuka produktu, a nie konkretnej ofiary.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wstrzymanie wysyłek na czas analizy i odtwarzania serwera, ręczna obsługa zamówień | Dni | 30 tys. do 250 tys. PLN (przestój, nadgodziny) |
Bezpieczeństwo danych | Wyciek danych zamówień, odbiorców, adresów, cen i warunków handlowych | Godziny od wejścia | 30 tys. do 150 tys. PLN (analiza powłamaniowa) |
Finansowy | Kary umowne od kontrahentów, utracone zamówienia, koszty wymiany serwera | Tygodnie | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów powierzających firmie swoje zamówienia i dane | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; przy danych powierzonych obowiązki wobec administratorów; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z VeraCore starszym niż 2025.1.1.3
i panelem widocznym z internetu
Wpływ
5 | . . . . .
4 | . . . . ■ ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest najwyższe (atak bez logowania, możliwy do automatyzacji, potwierdzony przez CISA i badaczy), a wpływ wysoki, bo główną szkodą jest wyciek danych; firma z panelem dostępnym tylko z sieci wewnętrznej lub przez VPN przesuwa się wyraźnie w lewo.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma lub jej operator logistyczny używa VeraCore i w jakiej dokładnie wersji | Dziś | CTO / kierownik logistyki |
2 | 🔴 NATYCHMIAST | Jeśli wersja jest starsza niż 2025.1.1.3: ograniczyć dostęp do panelu do sieci firmowej lub VPN | Dziś | Administrator / dostawca |
3 | 🔴 NATYCHMIAST | Zlecić aktualizację do 2025.1.1.3 lub nowszej (zamyka też powiązaną lukę CVE-2024-57968) | Do 3 dni | Dostawca / partner IT |
4 | 🟠 PILNIE | Sprawdzić serwer pod kątem obcych plików i nieznanych kont, zwłaszcza w katalogach aplikacji internetowej | Do 7 dni | Zewnętrzny zespół bezpieczeństwa |
5 | 🟠 PILNIE | Zmienić hasła do bazy danych i kont serwisowych używanych przez VeraCore | Po aktualizacji | Administrator |
6 | 🟠 PILNIE | Wysłać pisemne zapytanie do operatora logistycznego o wersję i datę aktualizacji | Do 3 dni | Kierownik zakupów / logistyki |
7 | 🟡 WAŻNIE | Wpisać VeraCore do rejestru systemów z właścicielem i kwartalną kontrolą wersji | Do 30 dni | CTO |
Producent wydał wersję z poprawką (2025.1.1.3), więc docelowo trzeba ją wdrożyć. CISA dopuszcza wprost trzecią drogę: zaprzestanie używania produktu, jeśli poprawki nie da się zastosować. Oceny poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Udostępnienie panelu wyłącznie z sieci firmowej lub przez VPN | Wysoka: usuwa atak z internetu | Średnia: wymaga zmiany sposobu pracy osób spoza biura |
Ograniczenie dostępu do listy znanych adresów (klienci, oddziały) | Średnia do wysokiej | Łatwa, jeśli adresy są stałe |
Zapora aplikacji internetowych (WAF) przed serwerem | Średnia: utrudnia typowe ataki, nie usuwa błędu | Średnia |
Przegląd logów serwera WWW i bazy danych | Niska jako ochrona, przydatna do wykrycia włamania | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Dostęp do bazy zamówień | Możliwy bez logowania przez jedną podstronę | Tylko dla zalogowanych użytkowników |
Widoczność panelu | Cały internet | Sieć firmowa, VPN lub lista zaufanych adresów |
Wiedza o wcześniejszym włamaniu | Brak | Serwer sprawdzony, wynik udokumentowany |
Relacja z operatorem logistycznym | Założenie, że „dostawca pilnuje” | Pisemne potwierdzenie wersji i daty aktualizacji |
Zgodność z terminem CISA | Zaległość ponad 1,5 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA ocenia wykorzystanie jako aktywne, możliwe do zautomatyzowania, ze skutkiem całkowitym |
Grupy przestępcze | XE Group, grupa aktywna co najmniej od 2013 roku, wcześniej znana z kradzieży danych kart płatniczych (raport Intezer i Solis Security z 3 lutego 2025) |
Kampanie ransomware | Brak potwierdzenia (CISA KEV: Unknown) |
Ocena CVSS | 7.5 WYSOKA wg NVD; 5.8 ŚREDNIA wg MITRE (obie CVSS 3.1) |
PoC dostępny publicznie? | Techniczny opis ataków jest publiczny w raportach Intezer i Solis Security; o gotowym narzędziu do ataku brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji; badacze wskazują cele w łańcuchach dostaw firm produkcyjnych i dystrybucyjnych |
Prognoza EPSS | Około 57% szansy próby wykorzystania w ciągu miesiąca, górny 1% wszystkich podatności (wg analizy źródłowej) |
Rozbieżność ocen CVSS ma praktyczne skutki: firma z zasadą „łatamy obowiązkowo od 7 punktów” zadziała albo nie, zależnie od bazy, z której korzysta jej skaner. Wpis w KEV jest informacją mocniejszą niż obie liczby.
Sygnały zagrożenia dla CVE-2025-25181
CVSS 3.1 (NVD) 7.5/10 ███████████████░░░░░ WYSOKA
CVSS 3.1 (MITRE) 5.8/10 ████████████░░░░░░░░ ŚREDNIA
EPSS (próba w 30 dni) ~57% ███████████░░░░░░░░░ WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2020 Pierwsze wykorzystanie luki SQL przez XE Group
(ustalone wstecznie przez badaczy)
2024-11-05 Wykrycie ataku XE Group na serwer VeraCore (Solis Security)
2024-11-06 Producent powiadomiony przez ofiarę
2024-12-04 Zgłoszenie do CERT/CC
2025-02-03 Publiczne ujawnienie, nadanie numeru CVE, raport Intezer i Solis
2025-03-10 CISA dodaje CVE-2025-25181 i CVE-2024-57968 do katalogu KEV
2025-03-31 Termin naprawy wg CISA
... ponad 1,5 roku od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Informacja producenta o wydaniu z poprawką: VeraCore Release Notes 2025.1.1.3 (portal klienta Advantive). Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-25181 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub jej operator logistyczny używa VeraCore | CTO | DZISIAJ |
2 | Uzyskać pisemnie dokładny numer zainstalowanej wersji | CTO | DZISIAJ |
3 | Zatwierdzić odcięcie panelu od internetu, jeśli wersja jest starsza niż 2025.1.1.3 | CTO | DZISIAJ |
4 | Zatwierdzić termin aktualizacji z dostawcą | CTO | DO JUTRA |
5 | Zlecić sprawdzenie serwera pod kątem śladów wcześniejszego włamania | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli sprawdzenie coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić umowy powierzenia danych z klientami i warunki polisy cyberubezpieczenia | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy VeraCore u siebie lub u operatora logistycznego? | TAK / NIE | 🔴 |
2 | Jaki dokładnie numer wersji VeraCore jest zainstalowany? | [wersja] | 🔴 |
3 | Czy panel VeraCore jest dostępny z internetu bez VPN? | TAK / NIE | 🔴 |
4 | Kiedy zainstalowano wersję 2025.1.1.3 lub nowszą? | [data] | 🟠 |
5 | Czy serwer sprawdzono pod kątem obcych plików i nieznanych kont po aktualizacji? | TAK / NIE, [data] | 🟠 |
6 | Czy po aktualizacji zmieniono hasła do bazy danych i kont serwisowych? | TAK / NIE | 🟠 |
7 | Jak długo przechowujemy logi serwera WWW i czy obejmują okres od 2024 roku? | [liczba miesięcy] | 🟡 |
CVE-2025-25181 pozwala bez logowania sięgnąć do bazy danych Advantive VeraCore przez niepozorną podstronę. Luka była wykorzystywana przez XE Group, a termin CISA minął 31 marca 2025 roku, więc sprawdzenie wersji, odcięcie panelu od internetu i aktualizacja do 2025.1.1.3 to zadania na dziś, a kontrola serwera pod kątem dawnych włamań na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.