W komunikatorze Srimax Output Messenger nazwa wysyłanego pliku mogła wskazać folder autostartu serwera i zainstalować tylne wejście. Grupa szpiegowska używa luki od 2024 roku. Zaktualizuj serwer i klientów oraz sprawdź serwer.
Ten alert jest dla zarządu, CTO i CFO firm, które używają wewnętrznego komunikatora Srimax Output Messenger na własnym serwerze. Werdykt: jeśli serwer Output Messenger ma wersję sprzed 2.0.62, a klient sprzed 2.0.63, zaktualizuj oba dziś i sprawdź serwer pod kątem śladów włamania, bo przez zwykłą wysyłkę pliku napastnik może trwale zainstalować tylne wejście, a luka jest wykorzystywana przez grupę szpiegowską od 2024 roku.
Amerykańska agencja CISA 19 maja 2025 roku dopisała podatność CVE-2025-27920 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy Srimax Output Messenger, komunikatora instalowanego na własnym serwerze firmy. Zwykły użytkownik, wysyłając plik, mógł tak spreparować jego nazwę (sekwencje „../”), że plik trafiał poza przewidziany folder, na przykład do folderu autostartu Windows.
Microsoft opisał ataki grupy szpiegowskiej Marbled Dust (powiązanej z Turcją, znanej też jako Sea Turtle), która wykorzystywała lukę co najmniej od kwietnia 2024 roku, czyli rok przed publikacją CVE, przeciwko organizacjom w Iraku. Microsoft zgłosił błąd producentowi i znalazł drugą lukę, CVE-2025-27921, dla której nie zaobserwowano ataków. Termin naprawy wyznaczony przez CISA minął 9 czerwca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-27920 (w europejskiej bazie ENISA: EUVD-2025-13464; powiązana: CVE-2025-27921) |
Data dodania do CISA KEV | 2025-05-19 |
Termin naprawy wg CISA | 2025-06-09 |
Produkt | Srimax Output Messenger (komunikator wewnętrzny na własnym serwerze) |
Wersje zagrożone | Wg NVD i MITRE: przed 2.0.63. Wg Microsoftu: serwer przed 2.0.62, klient Windows przed 2.0.63. Warunek ataku: włączona funkcja wysyłania plików |
Wersje bezpieczne | Serwer 2.0.62 i klient 2.0.63 (lub nowsze) wg Microsoftu; punktem odniesienia jest komunikat producenta o wersji naprawionej |
Typ podatności | Przejście katalogowe; MITRE: CWE-24, CISA: CWE-22 |
Ocena CVSS | NVD: 8.8 (CVSS 3.1, WYSOKA, wymaga niskich uprawnień, pełny wpływ). MITRE: 7.2 (CVSS 3.1, WYSOKA, bez uprawnień, częściowy wpływ). ENISA przyjęła 7.2 |
Wyobraź sobie archiwum, w którym pracownik oddaje dokument z karteczką „włóż do szuflady numer 5”. Archiwista czyta karteczkę dosłownie. Ktoś wpisuje na niej „cofnij się pięć szaf, potem do gabinetu dyrektora, na biurko” i archiwista posłusznie zanosi tam dokument, bo nie sprawdza, czy adres jest w archiwum. W komunikatorze tym „adresem” była nazwa wysyłanego pliku, a „gabinetem dyrektora” folder autostartu Windows, z którego system uruchamia programy przy każdym starcie.
Napastnik wysyłał więc plik o nazwie złożonej z powtórzonych „../” i ścieżki do autostartu, a serwer zapisywał tam skrypt. Od tej chwili obcy program uruchamiał się sam przy każdym restarcie serwera. Do ataku wystarczyło jedno działające konto pracownika w komunikatorze, nie konto administratora.
💡 Przejście katalogowe (directory traversal) to sztuczka z nazwą pliku zawierającą „../”, która wyprowadza zapis lub odczyt poza dozwolony folder. Folder autostartu to miejsce, z którego Windows uruchamia programy przy każdym starcie. Tylne wejście (backdoor) to ukryty program dający napastnikowi stały dostęp. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik wysyła plik przez czat | Plik trafia do folderu tymczasowego serwera | Plik może trafić do folderu autostartu |
Nazwa pliku | Traktowana jak etykieta | Traktowana jak ścieżka zapisu |
Uruchamianie programów na serwerze | Tylko zainstalowane składniki | Także skrypt podrzucony przez napastnika, przy każdym starcie |
Potrzebne uprawnienia | Administrator do zmian na serwerze | Wystarczy konto zwykłego pracownika |
Widok w liście procesów | Znane usługi | Tylne wejście podszywające się pod składnik czatu |
źródło: Pexels, Tima MiroshnichenkoPoniżej typowy przebieg ataku, oparty na opisie Microsoftu. To scenariusz poglądowy, a nie pełne odtworzenie incydentu. Atak wymaga konta w komunikatorze i włączonej funkcji wysyłania plików. CISA ocenia atak jako automatyzowalny, więc można go prowadzić masowo wobec serwerów widocznych z internetu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie konta | T-dni | Wyłudzenie hasła, hasło z wycieku, laptop z wykradzionymi hasłami | Działające konto w komunikatorze |
2. Wysyłka pliku | T+0 min | Przesłanie pliku ze spreparowaną nazwą (sekwencje „../” + ścieżka do autostartu) | Skrypt zapisany w folderze autostartu serwera |
3. Uruchomienie | T+do restartu | System uruchamia podrzucony skrypt przy starcie | Tylne wejście aktywne |
4. Instalacja backdoora | T+minuty | Uruchomienie ukrytego programu (w atakach: OMServerService.exe w języku Go) | Stały, ukryty dostęp |
5. Rozpoznanie sieci | T+dni | Przegląd sieci wewnętrznej z serwera czatu | Mapa systemów i danych |
6. Szpiegostwo lub kradzież | T+tygodnie do miesięcy | Ciche wyprowadzanie korespondencji i dokumentów | Wyciek informacji |
Wewnętrzny komunikator to narzędzie, którego nikt nie traktuje jak oprogramowania z internetu, więc wypada z list aktualizacji. Tymczasem stoi w środku sieci, ma konta wszystkich pracowników i włączoną wysyłkę plików. Powiązanie z grupą szpiegowską i celami w Iraku bywa wymówką („to nie o nas”), ale sama technika jest banalna: podmiana jednego pola w żądaniu, możliwa do zautomatyzowania.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przeinstalowanie serwera czatu, przerwa w komunikacji wewnętrznej | Dni | 15 tys. do 150 tys. PLN (praca IT, przestój) |
Bezpieczeństwo danych | Dostęp do rozmów, plików i sieci wewnętrznej z przejętego serwera | Tygodnie cichej obecności | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, skutki dalszego włamania | Tygodnie | 30 tys. do 500 tys. PLN |
Reputacyjny | Utrata zaufania partnerów, jeśli wyciekła korespondencja handlowa | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekną dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Output Messenger bez poprawki
z włączoną wysyłką plików
Wpływ
5 | . . . ■ . ← WYSOKIE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (trwałe tylne wejście na serwerze w sieci firmowej), a prawdopodobieństwo średnie do wysokiego: technika jest prosta i automatyzowalna, ale wymaga konta w komunikatorze; niski EPSS wynika z niszowości produktu, a nie z bezpieczeństwa konkretnej instalacji.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma używa Output Messenger i jakie są wersje serwera oraz klientów | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Zaktualizować serwer do 2.0.62 lub nowszej i klientów do 2.0.63 lub nowszej | Dziś | Administrator IT |
3 | 🔴 NATYCHMIAST | Sprawdzić folder autostartu i katalogi serwera pod kątem nieznanych plików (np. OM.vbs, OMServerService.vbs, OMServerService.exe) | Dziś | Zespół bezpieczeństwa |
4 | 🟠 PILNIE | Zablokować dostęp do panelu Server Manager z internetu | Do 3 dni | Administrator sieci |
5 | 🟠 PILNIE | Włączyć drugi składnik logowania na kontach pracowników i zmienić hasła administracyjne | Do 7 dni | Administrator IT |
6 | 🟠 PILNIE | Przejrzeć logi serwera i połączeń pod kątem nietypowych wysyłek i procesów | Do 7 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Wpisać komunikator na listę oprogramowania objętego regularnymi aktualizacjami | Do 30 dni | CTO |
Producent wydał poprawione wersje. Poniższe miary ograniczają ryzyko do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie funkcji wysyłania plików w komunikatorze | Wysoka: usuwa warunek ataku | Średnia: ogranicza działanie narzędzia |
Panel Server Manager dostępny tylko z sieci firmowej lub VPN | Średnia: zmniejsza pole ataku | Średnia |
Drugi składnik logowania na kontach pracowników | Średnia: utrudnia użycie wykradzionego hasła | Średnia |
Tryb blokowania w oprogramowaniu chroniącym stacje i serwery (zalecenie Microsoftu) | Średnia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wysyłka pliku ze spreparowaną nazwą | Może zapisać plik w autostarcie | Zapis ograniczony do właściwego folderu |
Wersje serwera i klientów | Sprzed poprawki | Serwer 2.0.62 i klient 2.0.63 lub nowsze |
Folder autostartu serwera | Niesprawdzony | Przejrzany, obce pliki usunięte |
Logowanie pracowników | Samo hasło | Hasło i drugi składnik |
Panel zarządzania | Dostępny z internetu | Tylko z sieci firmowej |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); wg Microsoftu ataki co najmniej od kwietnia 2024 roku |
Grupy przestępcze | Marbled Dust (powiązana z Turcją, znana też jako Sea Turtle, UNC1326), wg Microsoftu |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown); celem było szpiegostwo, nie okup |
Ocena CVSS | 8.8 WYSOKA wg NVD (CVSS 3.1); 7.2 WYSOKA wg MITRE i ENISA (CVSS 3.1) |
PoC dostępny publicznie? | Brak informacji o opublikowanym kodzie; technika opisana przez Microsoft |
Liczba atakowanych firm | Brak publicznych informacji; opisane cele w Iraku |
Automatyzacja (CISA) | TAK |
Prognoza EPSS | 0,018 (wg analizy źródłowej): niska, mimo potwierdzonych ataków |
Źródła różnią się nie tylko oceną (8.8 wobec 7.2), ale i opisem skutku: NVD pisze o dostępie do plików (odczyt), a Microsoft o zapisie do autostartu (trwałe wejście). Różnią się też wersje graniczne (jedna liczba w bazach, dwie u Microsoftu), dlatego punktem odniesienia jest komunikat producenta.
Sygnały zagrożenia dla CVE-2025-27920
CVSS 3.1 (NVD) 8.8/10 ██████████████████░░ WYSOKA
CVSS 3.1 (MITRE) 7.2/10 ██████████████░░░░░░ WYSOKA
EPSS 0,018 █░░░░░░░░░░░░░░░░░░░ NISKIE (produkt niszowy)
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ możliwa 2024-04 Początek obserwowanych ataków grupy Marbled Dust (wg Microsoft)
2025-05-05 Publikacja CVE-2025-27920
2025-05-19 CISA dodaje lukę do katalogu KEV
2025-06-09 Termin naprawy wg CISA dla agencji federalnych
2025-08-26 Ocena SSVC CISA: wykorzystanie aktywne, atak automatyzowalny
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Informacja producenta o luce: outputmessenger.com/cve-2025-27920 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-27920 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy używamy Output Messenger i gdzie stoi serwer | CTO | DZISIAJ |
2 | Uzyskać pisemnie wersje serwera i klientów | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację i sprawdzenie serwera | CTO | DZISIAJ |
4 | Zlecić przegląd folderu autostartu i logów serwera | CTO | DO JUTRA |
5 | Zatwierdzić włączenie drugiego składnika logowania na kontach pracowników | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić, czy inne narzędzia wewnętrzne są objęte aktualizacjami | CFO / CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy Srimax Output Messenger na własnym serwerze? | TAK / NIE | 🔴 |
2 | Jaka jest wersja serwera i wersja klientów? | [wersje] | 🔴 |
3 | Czy sprawdzono folder autostartu i katalogi serwera pod kątem nieznanych plików? | TAK / NIE, [data] | 🔴 |
4 | Czy funkcja wysyłania plików jest włączona i czy jest potrzebna? | TAK / NIE | 🟠 |
5 | Czy panel Server Manager jest dostępny z internetu? | TAK / NIE | 🟠 |
6 | Czy konta pracowników mają drugi składnik logowania? | TAK / NIE | 🟠 |
7 | Czy przejrzano logi serwera pod kątem nietypowych wysyłek i procesów? | TAK / NIE, [data] | 🟡 |
CVE-2025-27920 pozwala przez zwykłą wysyłkę pliku w komunikatorze Output Messenger zapisać skrypt w folderze autostartu serwera i trwale zainstalować tylne wejście, a grupa Marbled Dust wykorzystywała lukę od 2024 roku. Poprawki są dostępne, termin CISA minął 9 czerwca 2025 roku, więc aktualizacja serwera i klientów oraz sprawdzenie serwera pod kątem obcych plików to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.