Błąd użycia pamięci po zwolnieniu w sterowniku dzienników CLFS pozwala zwykłemu kontu przejąć uprawnienia SYSTEM. Microsoft wykrył ataki przed wydaniem poprawki. Sprawdź, czy wszystkie maszyny mają aktualizacje z maja 2025 lub nowsze.
Ten alert jest dla zarządu, CTO i CFO firm pracujących na komputerach i serwerach z Windows, szczególnie tam, gdzie część maszyn ma wstrzymane aktualizacje. Werdykt: jeśli któraś maszyna nie ma aktualizacji z maja 2025 roku lub nowszej, zaktualizuj ją dziś, bo ta luka zamienia zwykłe konto w uprawnienia SYSTEM, a Microsoft wykrył ataki, zanim ktokolwiek o niej wiedział.
Amerykańska agencja CISA 13 maja 2025 roku, w dniu wydania poprawki, dopisała podatność CVE-2025-32701 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Tego samego dnia trafiła tam druga luka w tym samym sterowniku: CVE-2025-32706.
Błąd tkwi w sterowniku Common Log File System (CLFS), który prowadzi dzienniki systemu i działa w jądrze Windows. To użycie pamięci po jej zwolnieniu: sterownik sięga do pamięci, którą już oddał. Napastnik z dostępem do zwykłego konta może to wykorzystać, by zdobyć uprawnienia SYSTEM. Microsoft oznaczył lukę jako nieujawnioną wcześniej, wykorzystywaną i wykrytą w atakach; zgłosił ją wewnętrzny zespół wywiadu zagrożeń. Obejścia nie ma.
Termin naprawy wyznaczony przez CISA minął 3 czerwca 2025 roku, ponad piętnaście miesięcy temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-32701 |
Data dodania do CISA KEV | 2025-05-13 |
Termin naprawy wg CISA | 2025-06-03 (21 dni od wpisu) |
Produkt | Microsoft Windows, sterownik Common Log File System (CLFS) |
Wersje zagrożone | 37 produktów wg Microsoftu (18 platform wg NVD): Windows 10 (1507, 1607, 1809, 21H2, 22H2), Windows 11 (22H2, 23H2, 24H2), Windows Server 2008 SP2, 2008 R2, 2012, 2012 R2, 2016, 2019, 2022, 2022 23H2, 2025, bez aktualizacji z maja 2025 |
Wersje bezpieczne | Aktualizacje z maja 2025 lub nowsze, m.in. KB5058387, KB5058383, KB5058392, KB5058379, KB5058385, KB5058405 (Windows 10 i 11), KB5058411 (Windows 11 24H2), KB5058429 i KB5058449 (Server 2008), KB5058430 i KB5058454 (Server 2008 R2), KB5058451 (Server 2012), KB5058403 (Server 2012 R2). Wg NVD minimalne kompilacje m.in.: 19045.5854, 22631.5335, 26100.3981, 20348.3692, 17763.7314 |
Typ podatności | Podniesienie uprawnień; CWE-416 (użycie pamięci po zwolnieniu) |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, Microsoft; waga Microsoftu: „ważna”). Atak lokalny, niska złożoność, wymaga zwykłego konta, bez udziału użytkownika, pełny wpływ |
Wyobraź sobie pracownika, który oddaje na recepcji klucz do sali konferencyjnej, a potem wraca do tej sali „z pamięci”, bo przecież była jego. W międzyczasie sala została przydzielona komuś innemu, kto zostawił na stole kartkę z poleceniami. Pracownik, przekonany, że to jego notatki, wykonuje je, korzystając ze swojego służbowego identyfikatora z pełnym dostępem do budynku.
Tak działa ta luka. Sterownik dzienników, pracujący z najwyższymi uprawnieniami, sięga do pamięci, którą już zwolnił. Jeśli napastnik zdąży tam wstawić własną zawartość, sterownik ją wykona. Efekt: program uruchomiony przez zwykłego użytkownika dostaje uprawnienia SYSTEM, wyższe nawet niż konto administratora.
💡 CLFS to składnik Windows prowadzący dzienniki zdarzeń odporne na nagłą utratę zasilania. Jądro (kernel) to najgłębsza część systemu z pełnymi uprawnieniami. Użycie po zwolnieniu (use-after-free) to błąd, w którym program korzysta z pamięci już oddanej systemowi. SYSTEM to najwyższe konto w Windows. EPSS to wskaźnik prawdopodobieństwa masowego wykorzystania luki w najbliższych 30 dniach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Złośliwy program na koncie pracownika | Ma uprawnienia tego pracownika | Zdobywa uprawnienia SYSTEM |
Program antywirusowy | Chroni komputer | Może zostać wyłączony |
Hasła zapisane w systemie | Niedostępne dla zwykłego konta | Odczytywane i używane na innych maszynach |
Maszyna z wstrzymanymi aktualizacjami | „Działa, nie ruszamy” | Najsłabszy punkt całej sieci |
Niski wskaźnik EPSS (ok. 1,4%) | Sugeruje spokój | Oznacza brak masowych ataków, nie brak ataków celowanych |
źródło: Pexels, Connor Scott McManusPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie działa przez internet: wymaga wcześniejszego uruchomienia programu na koncie użytkownika. CISA ocenia atak jako nieautomatyzowalny, ze skutkiem całkowitym.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście | T+0 | Złośliwy załącznik, wykradzione hasło lub luka w innej aplikacji | Program na koncie zwykłego użytkownika |
2. Podniesienie uprawnień | T+minuty | Wykorzystanie błędu w sterowniku CLFS | Uprawnienia SYSTEM |
3. Wyłączenie ochrony | T+15 min | Wyłączenie antywirusa, odczyt haseł z systemu | Dane logowania do innych maszyn |
4. Ruch w sieci | T+1 do 3 dni | Przejście na serwer plików i kontroler domeny | Kontrola nad siecią |
5. Przygotowanie | T+3 do 14 dni | Kradzież dokumentów, usuwanie kopii zapasowych | Firma bez możliwości odtworzenia |
6. Skutek | T+2 do 4 tygodni | Szyfrowanie danych i żądanie okupu | Przestój całej firmy |
Mogę Ci jakoś pomóc?
Luki podnoszące uprawnienia ocenia się po tym, o ile zwiększają szkodę, gdy napastnik już jest w środku. Ta zamienia jedno zainfekowane stanowisko w zainfekowaną sieć. Sterownik CLFS miał w maju 2025 roku dwie wykorzystywane luki naraz, co pokazuje, że stare składniki systemu są regularnym celem.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane komputery i serwery, dni przestoju | Dni do tygodni od wejścia | 50 tys. do 500 tys. PLN |
Bezpieczeństwo danych | Kradzież dokumentów, haseł i danych klientów | Godziny do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa) |
Finansowy | Okup, odtwarzanie systemów, zewnętrzni specjaliści | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów, szczególnie przy danych poufnych | Miesiące | 50 tys. do 500 tys. PLN |
Prawny | Przy wycieku danych osobowych zgłoszenie do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności) | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla maszyn Windows
bez aktualizacji z maja 2025
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (uprawnienia SYSTEM i otwarta droga do całej sieci), a prawdopodobieństwo średnie, bo atak wymaga wcześniejszego wejścia na komputer i nie jest masowy; po ponad roku od poprawki każda niezaktualizowana maszyna to jednak wyraźna zaległość.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Wygenerować listę maszyn bez aktualizacji z maja 2025 lub nowszej | Dziś | Administrator systemów |
2 | 🔴 NATYCHMIAST | Zaktualizować serwery: kontroler domeny, pliki, terminale, kopie zapasowe | Dziś | Administrator systemów |
3 | 🔴 NATYCHMIAST | Odnaleźć maszyny z wstrzymanymi aktualizacjami (np. z programem księgowym) i zaktualizować je lub odizolować | Dziś | Dział IT |
4 | 🟠 PILNIE | Sprawdzić numer KB lub kompilację w historii aktualizacji każdej maszyny; przy rozbieżności między NVD a Microsoftem rozstrzyga Microsoft | Do 3 dni | Dział IT |
5 | 🟠 PILNIE | Upewnić się, że zainstalowana jest też poprawka CVE-2025-32706 (ta sama aktualizacja majowa) | Do 3 dni | Dział IT |
6 | 🟠 PILNIE | Rozwiązać problem zgodności aplikacji, przez który wstrzymano aktualizacje, zamiast trwale je blokować | Do 7 dni | CTO / dostawca aplikacji |
7 | 🟡 WAŻNIE | Ograniczyć uprawnienia administratora lokalnego i wdrożyć comiesięczny raport stanu aktualizacji | Do 30 dni | CTO |
Microsoft nie podaje żadnego obejścia, a sterownika CLFS nie da się po prostu wyłączyć, bo korzysta z niego system i programy. Poniższe miary tylko ograniczają szanse i skutki ataku. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odizolowanie maszyn bez aktualizacji w osobnej sieci | Średnia: ogranicza ruch napastnika | Średnia |
Blokowanie uruchamiania nieznanych programów (kontrola aplikacji) | Średnia do wysokiej | Trudna |
MFA i wyłączenie zdalnego pulpitu z internetu | Średnia: zamyka typowe wejście | Średnia |
Monitorowanie wyłączeń antywirusa i nietypowych logowań | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Zainfekowanie jednego komputera | Możliwe uprawnienia SYSTEM i ruch po sieci | Napastnik ograniczony do praw użytkownika |
Maszyny z wstrzymanymi aktualizacjami | Poza kontrolą | Zaktualizowane lub odizolowane |
Wiedza o stanie aktualizacji | Ogólne zapewnienie | Numery KB dla każdej maszyny |
Podejście do „dopiero co łatanych” składników | „Już było, poczekamy” | Aktualizacje na bieżąco |
Zgodność z terminem CISA | Zaległość od 3 czerwca 2025 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Microsoft: wykryte wykorzystanie przed ujawnieniem |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, Microsoft), waga Microsoftu: „ważna” |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Wewnętrzny zespół wywiadu zagrożeń Microsoftu |
Prognoza EPSS | 0,0136, percentyl 0,696 (wg analizy źródłowej); niski, bo atak nie jest masowy |
Powiązana luka | CVE-2025-32706 w tym samym sterowniku, dodana do KEV tego samego dnia |
Sygnały zagrożenia dla CVE-2025-32701
CVSS 3.1 (Microsoft) 7.8/10 ████████████████░░░░ WYSOKA
Skutek wg CISA (SSVC) total ████████████████████ CAŁKOWITY
CISA KEV TAK ████████████████████ ataki potwierdzone
Atak przed poprawką TAK ████████████████████ zero-day
EPSS (wg źródła) ~1,4% ░░░░░░░░░░░░░░░░░░░░ ataki celowane
Mogę Ci jakoś pomóc?
przed 2025-05 Microsoft wykrywa wykorzystanie luki w atakach
2025-05-13 Poprawka w aktualizacjach majowych, publikacja CVE
2025-05-13 CISA dodaje CVE-2025-32701 i CVE-2025-32706 do KEV
2025-06-03 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 15 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat Microsoftu z numerami aktualizacji: msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-32701 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-32701 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zażądać listy maszyn Windows bez aktualizacji z maja 2025 lub nowszej | CTO | DZISIAJ |
2 | Zażądać listy maszyn z wstrzymanymi aktualizacjami i powodu wstrzymania | CTO | DZISIAJ |
3 | Zatwierdzić aktualizację serwerów, nawet kosztem krótkiej przerwy | CTO | DZISIAJ |
4 | Zatwierdzić budżet na rozwiązanie problemów zgodności aplikacji z aktualizacjami | CFO | DO JUTRA |
5 | Zatwierdzić wymianę maszyn z systemami bez wsparcia (np. Server 2008, 2012) | CFO | DO JUTRA |
6 | Sprawdzić, czy polisa cyberubezpieczenia wymaga terminowego instalowania poprawek | CFO | DO JUTRA |
7 | Ustalić comiesięczny raport stanu aktualizacji dla zarządu | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile maszyn nie ma aktualizacji z maja 2025 lub nowszej? | [liczba] | 🔴 |
2 | Które maszyny mają wstrzymane aktualizacje i dlaczego? | [lista] | 🔴 |
3 | Kiedy kontroler domeny i serwer plików dostały ostatnią aktualizację? | [data] | 🔴 |
4 | Czy w firmie działają jeszcze Windows Server 2008 lub 2012? | TAK / NIE | 🟠 |
5 | Czy zweryfikowaliśmy numery KB w historii aktualizacji, a nie tylko w konsoli? | TAK / NIE | 🟠 |
6 | Ilu pracowników ma uprawnienia administratora lokalnego? | [liczba] | 🟡 |
7 | Ile dni średnio mija od wydania aktualizacji Microsoftu do instalacji u nas? | [liczba dni] | 🟡 |
CVE-2025-32701 to luka w sterowniku dzienników CLFS, która pozwala zwykłemu kontu zdobyć uprawnienia SYSTEM w Windows. Microsoft wykrył ataki przed wydaniem poprawki, CISA wpisała lukę do KEV w dniu jej wydania, a obejścia nie ma. Niski wskaźnik EPSS nie jest powodem do zwłoki: aktualizacja z maja 2025 lub nowsza na każdej maszynie, w tym tych z wstrzymanymi aktualizacjami, zamyka to ryzyko.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.