Luka w Brocade Fabric OS pozwala kontu administratora obejść blokadę roota i trwale zmienić system przełącznika SAN. Broadcom i CISA potwierdzają ataki. Obejścia nie ma: zaplanuj aktualizację do 9.1.1d7 lub 9.2.0 i uporządkuj konta.
Ten alert jest dla zarządu, CTO i CFO firm, które mają własną serwerownię z macierzami dyskowymi podłączonymi przez przełączniki Brocade (sieć pamięci masowej SAN). Werdykt: jeśli przełączniki działają na Fabric OS od 9.1.0 do 9.1.1d6, zaplanuj aktualizację w najbliższym oknie serwisowym i dziś uporządkuj konta administratorów, bo luka jest wykorzystywana w atakach, a producent nie podaje żadnego obejścia.
Amerykańska agencja CISA 28 kwietnia 2025 roku dopisała podatność CVE-2025-1976 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Broadcom sam napisał w komunikacie, że mimo wymogu posiadania roli administratora luka była wykorzystywana w praktyce, i oznaczył komunikat jako krytyczny.
Od wersji 9.1.0 producent odebrał administratorom dostęp do konta root, żeby ograniczyć skutki przejęcia konta. Błąd sprawdzania poprawności adresu sieciowego pozwalał jednak wstrzyknąć kod wykonywany z pełnymi prawami root. Posiadacz konta z rolą administratora (fabryczną lub własną o takich uprawnieniach) mógł wykonać dowolne polecenie i trwale zmodyfikować system przełącznika. Obejścia nie ma.
Termin naprawy wyznaczony przez CISA minął 19 maja 2025 roku, ponad szesnaście miesięcy temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-1976 |
Data dodania do CISA KEV | 2025-04-28 |
Termin naprawy wg CISA | 2025-05-19 (21 dni od wpisu) |
Produkt | Broadcom Brocade Fabric OS (system przełączników sieci pamięci masowej SAN) |
Wersje zagrożone | Fabric OS 9.1.0 do 9.1.1d6 włącznie. Wymagane konto z rolą administratora (fabryczną lub własną) |
Wersje bezpieczne | Fabric OS 9.1.1d7; wersje 9.2.0 i nowsze nie są podatne. Brocade ASCG i SANnav nie są dotknięte |
Typ podatności | Wstrzyknięcie kodu z podniesieniem uprawnień do root. Broadcom i CISA: CWE-94 (wstrzyknięcie kodu); NVD: CWE-78 (wstrzyknięcie polecenia systemu) |
Ocena CVSS | Broadcom: 8.6 WYSOKA (CVSS 4.0, sieć sąsiednia, niskie uprawnienia; komunikat oznaczony jako krytyczny). NVD: 6.7 ŚREDNIA (CVSS 3.1, dostęp lokalny, wysokie uprawnienia). Oba: pełny wpływ na poufność, integralność i dostępność |
Wyobraź sobie kamienicę, w której zarządca zamknął kratą windę do piwnicy z instalacjami, żeby nawet dozorcy nie mieli tam wstępu, a wszystkie prace szły przez zlecenia. Okazało się, że dozorca, wpisując w formularzu zlecenia odpowiednio przygotowany „adres”, mógł tę kratę otworzyć. W piwnicy może nie tylko wszystko wyłączyć, ale też przerobić instalację tak, że zmiany zostaną po każdym remoncie.
Tak działa ta luka. Przełącznik SAN to urządzenie, przez które idzie cały ruch między serwerami a macierzami: bazy danych, maszyny wirtualne, archiwa. Blokada roota miała ograniczyć skutki przejęcia konta administratora, ale błąd ją znosił. Zmiany w systemie urządzenia przetrwają restart i przywrócenie konfiguracji, bo siedzą w oprogramowaniu, a nie w ustawieniach.
💡 SAN (Storage Area Network) to wydzielona sieć łącząca serwery z macierzami dyskowymi. Fabric OS to system działający na przełącznikach Brocade w tej sieci. Root to konto z nieograniczonymi prawami w systemie urządzenia. Wstrzyknięcie kodu to przemycenie poleceń w danych, które program powinien tylko zapisać. Okno serwisowe to zaplanowana przerwa na prace przy infrastrukturze.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Administrator loguje się na przełącznik | Ma dostęp do wyznaczonych poleceń | Może uzyskać pełne prawa root |
Przejęte konto administratora | Napastnik ma ograniczony zestaw poleceń | Napastnik ma cały system urządzenia |
Restart lub przywrócenie konfiguracji | Usuwa zmiany | Zmiany w oprogramowaniu zostają |
Wspólne konto admin dla zespołu i serwisu | Wygodne | Każdy, kto zna hasło, może przejąć urządzenie |
Obejście do czasu aktualizacji | Zwykle dostępne | Brak, tylko aktualizacja |
źródło: Pexels, Sami TÜRKPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga konta z rolą administratora na przełączniku, więc zaczyna się od zdobycia takiego konta. CISA ocenia atak jako nieautomatyzowalny, ze skutkiem całkowitym.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie konta | T+0 | Przejęcie hasła administratora: wspólne konto, hasło w notatkach, konto serwisu zewnętrznego, wcześniejsze włamanie do sieci | Konto z rolą administratora |
2. Dostęp do przełącznika | T+minuty | Logowanie z sieci zarządzania lub sąsiedniego odcinka sieci | Sesja administracyjna |
3. Obejście blokady | T+minuty | Wstrzyknięcie kodu przez błędnie sprawdzany adres | Pełne prawa root |
4. Utrwalenie | T+godzina | Modyfikacja systemu urządzenia, dodanie własnych podprogramów | Dostęp przetrwa restart |
5. Wykorzystanie | T+dni do miesięcy | Podgląd lub zakłócanie ruchu między serwerami a macierzami | Kradzież danych lub sabotaż |
6. Skutek | T+dowolny | Zatrzymanie dostępu do macierzy | Stoją bazy, maszyny wirtualne i systemy firmy |
Mogę Ci jakoś pomóc?
Przełączniki SAN są w warstwie, przez którą przechodzą wszystkie dane firmy. Przejęcie ich na poziomie root i modyfikacja oprogramowania to problem, którego nie rozwiązuje kopia zapasowa: trzeba przeinstalować system urządzenia i zweryfikować całe środowisko. Brak obejścia oznacza, że jedyną ochroną jest aktualizacja wymagająca przestoju.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymanie dostępu do macierzy, przestój baz i maszyn wirtualnych, przeinstalowanie przełączników | Godziny do dni | 50 tys. do 500 tys. PLN |
Bezpieczeństwo danych | Możliwy podgląd lub zakłócenie ruchu danych, trwała obecność napastnika | Tygodnie do miesięcy | 50 tys. do 300 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty specjalistów, serwisu producenta, nadgodzin, ewentualny okup | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Długi przestój usług dla klientów | Miesiące | 50 tys. do 500 tys. PLN |
Prawny | Przy wycieku danych osobowych zgłoszenie do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności); obowiązki zgłoszenia incydentu dla podmiotów objętych przepisami o cyberbezpieczeństwie | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Fabric OS 9.1.0 do 9.1.1d6
Wpływ
5 | . ■ . . . ← WYSOKIE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (pełne prawa root i trwała zmiana systemu urządzenia, przez które przechodzą wszystkie dane), a prawdopodobieństwo niskie, bo atak wymaga konta administratora; ryzyko wyraźnie rośnie, jeśli konto jest wspólne, dostępne dla firm zewnętrznych lub przełącznik jest osiągalny z sieci biurowej.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić wersję Fabric OS na wszystkich przełącznikach Brocade | Dziś | Administrator infrastruktury |
2 | 🔴 NATYCHMIAST | Spisać wszystkie konta z rolą administratora (fabryczną i własną), w tym konta firm zewnętrznych | Dziś | Administrator infrastruktury |
3 | 🔴 NATYCHMIAST | Zmienić hasła kont administracyjnych i usunąć konta niepotrzebne | Dziś | Administrator infrastruktury |
4 | 🟠 PILNIE | Zaplanować okno serwisowe i zaktualizować do Fabric OS 9.1.1d7 lub 9.2.0 i nowszej | Do 7 dni | CTO / partner Broadcom |
5 | 🟠 PILNIE | Ograniczyć dostęp do interfejsów zarządzania przełącznikami do wydzielonej sieci administracyjnej | Do 7 dni | Administrator sieci |
6 | 🟠 PILNIE | Po aktualizacji zweryfikować integralność systemu przełącznika z pomocą producenta | Do 14 dni | Partner Broadcom |
7 | 🟡 WAŻNIE | Przygotować listę urządzeń krytycznych z czasem aktualizacji i kolejnością wyłączania | Do 30 dni | CTO |
Producent nie podaje żadnego rozwiązania tymczasowego, jedyną drogą jest aktualizacja. CISA wymaga zastosowania zaleceń producenta albo zaprzestania używania produktu. Poniższe miary ograniczają tylko szansę zdobycia konta administratora. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Konta imienne zamiast wspólnego konta administratora | Średnia: zmniejsza grono osób z dostępem i ułatwia rozliczalność | Łatwa |
Dostęp do zarządzania tylko z wydzielonej sieci administracyjnej | Średnia do wysokiej | Średnia |
Usunięcie kont po zakończonej współpracy z firmami zewnętrznymi | Średnia | Łatwa |
Rejestrowanie i przegląd logowań na przełączniki | Niska jako ochrona, przydatna do wykrycia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Blokada roota | Do obejścia przez konto administratora | Działa zgodnie z założeniem |
Konta administracyjne | Wspólne, z historycznymi wpisami | Imienne, spisane, zbędne usunięte |
Dostęp do zarządzania | Z sieci biurowej | Tylko z sieci administracyjnej |
Plan przestoju | Brak, temat odkładany | Okno serwisowe z czasem i kolejnością |
Zgodność z terminem CISA | Zaległość od 19 maja 2025 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA i przez Broadcom); atak nieautomatyzowalny, skutek całkowity |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.6 WYSOKA (Broadcom, CVSS 4.0); 6.7 ŚREDNIA (NVD, CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Około 0,008, środek zestawienia (wg analizy źródłowej); ENISA podaje 0,78, co wygląda na inną skalę lub nieaktualną wartość |
Obejście producenta | Brak |
Sygnały zagrożenia dla CVE-2025-1976
CVSS 4.0 (Broadcom) 8.6/10 █████████████████░░░ WYSOKA
CVSS 3.1 (NVD) 6.7/10 █████████████░░░░░░░ ŚREDNIA
CISA KEV TAK ████████████████████ ataki potwierdzone
Obejście producenta BRAK ░░░░░░░░░░░░░░░░░░░░ tylko aktualizacja
EPSS (wg źródła) ~0,8% ░░░░░░░░░░░░░░░░░░░░ ataki celowane
Mogę Ci jakoś pomóc?
2025-04-24 Publikacja CVE-2025-1976 i komunikatu Broadcom
2025-04-28 CISA dodaje lukę do katalogu KEV
2025-04-30 CISA ocenia: aktywne wykorzystanie, skutek całkowity
2025-05-19 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 16 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat Broadcom: Security Advisory 25602 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-1976 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub dostawca usług IT używa przełączników Brocade z Fabric OS | CTO | DZISIAJ |
2 | Uzyskać listę wersji Fabric OS i kont administracyjnych | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową zmianę haseł i usunięcie zbędnych kont | CTO | DZISIAJ |
4 | Zatwierdzić termin okna serwisowego na aktualizację | CTO | DO JUTRA |
5 | Zarezerwować budżet na wsparcie partnera Broadcom przy aktualizacji i weryfikacji | CFO | DO JUTRA |
6 | Sprawdzić, czy umowa serwisowa obejmuje aktualizacje oprogramowania przełączników | CFO | DO JUTRA |
7 | Zlecić listę urządzeń krytycznych z planem przestoju | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja Fabric OS działa na każdym przełączniku? | [wersja] | 🔴 |
2 | Ile kont z rolą administratora istnieje i kto z nich korzysta? | [liczba i osoby] | 🔴 |
3 | Czy konto administratora jest wspólne dla kilku osób lub firm? | TAK / NIE | 🔴 |
4 | Kiedy zaplanowano aktualizację do 9.1.1d7 lub 9.2.0? | [data] | 🟠 |
5 | Czy interfejsy zarządzania są dostępne z sieci biurowej? | TAK / NIE | 🟠 |
6 | Czy logowania na przełączniki są rejestrowane i przeglądane? | TAK / NIE | 🟡 |
7 | Ile trwa i jak przebiega wyłączenie przełącznika SAN bez utraty danych? | [czas i procedura] | 🟡 |
CVE-2025-1976 pozwala kontu administratora obejść blokadę roota w Brocade Fabric OS i trwale zmodyfikować system przełącznika sieci pamięci masowej. Broadcom i CISA potwierdzają ataki, a producent nie podaje obejścia. Uporządkowanie kont administracyjnych można zrobić dziś, a aktualizację do 9.1.1d7 lub 9.2.0 trzeba zaplanować w najbliższym oknie serwisowym.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.