Spreparowany, skompresowany załącznik pozwala wykonać polecenie na bramie Libraesva ESG, zanim e-mail trafi do pracownika. CISA potwierdza wykorzystanie luki. Sprawdź wersję i reguły przekierowania poczty.
Ten alert jest dla zarządu, CTO i CFO firm, które filtrują pocztę przychodzącą przez bramę Libraesva Email Security Gateway (ESG), własną lub w usłudze chmurowej. Werdykt: jeśli ESG nie ma wersji z poprawką dla swojej gałęzi, zaktualizuj ją dziś i sprawdź reguły przekierowania poczty, bo luka była wykorzystana w ataku przypisywanym obcemu państwu.
Amerykańska agencja CISA 29 września 2025 roku dopisała do katalogu KEV podatność CVE-2025-59689 w Libraesva Email Security Gateway. KEV to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach.
Brama pocztowa rozpakowuje załączniki, żeby sprawdzić, czy są bezpieczne. Przy niektórych formatach archiwów wartość pochodząca z przesyłki trafiała do polecenia systemowego bez należytego oczyszczenia. Wystarczyło wysłać do firmy e-mail ze spreparowanym, skompresowanym załącznikiem, żeby na bramie wykonało się polecenie napastnika (według doniesień medialnych z uprawnieniami zwykłego, nieuprzywilejowanego konta systemowego). Nikt w firmie nie musiał niczego otwierać.
Producent potwierdził jeden incydent i ocenił, że stał za nim podmiot działający na zlecenie obcego państwa. Poprawkę wydał awaryjnie w ciągu 17 godzin od wykrycia ataku i rozesłał ją automatycznie. Termin naprawy wyznaczony przez CISA minął 20 października 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-59689 |
Data dodania do CISA KEV | 2025-09-29 |
Termin naprawy wg CISA | 2025-10-20 (21 dni od wpisu) |
Produkt | Libraesva Email Security Gateway (ESG), brama filtrująca pocztę, instalacje lokalne i chmurowe |
Wersje zagrożone | Od 4.5 do 5.5.x przed wydaniami z poprawką, we wszystkich gałęziach |
Wersje bezpieczne | 5.0.31, 5.1.20, 5.2.31, 5.3.16, 5.4.8, 5.5.7 lub nowsze w danej gałęzi. Uwaga: opis tekstowy w rekordzie CVE pomija gałąź 5.3, a dane maszynowe NVD wskazują dla niej 5.3.16; przy gałęzi 5.3 potwierdź wersję u producenta |
Typ podatności | Wstrzyknięcie poleceń przez skompresowany załącznik e-mail; CWE-77 |
Ocena CVSS | 6.1 ŚREDNIA (CVSS 3.1, MITRE jako organizacja publikująca CVE; wpływ na dane oceniony jako niski). CISA w ocenie SSVC: skutek techniczny całkowity. Atak przez sieć, bez logowania |
Wyobraź sobie punkt kontroli przesyłek w biurowcu. Ochrona otwiera każdą paczkę, żeby sprawdzić, czy nie ma w niej nic niebezpiecznego, i dopiero potem przekazuje ją adresatowi. Pracownik ochrony czyta przy tym naklejkę z opisem zawartości i wpisuje ją do dziennika poleceń dla zmiany. Ktoś wpadł na pomysł, żeby na naklejce zamiast „dokumenty” napisać „dokumenty, a potem otwórz tylne drzwi”. Pracownik przepisał to dosłownie i zmiana wykonała polecenie.
Tak działał ten błąd. Brama Libraesva rozpakowywała archiwum z załącznika, żeby usunąć z plików aktywną zawartość. Fragment danych z archiwum trafiał przy tym do polecenia systemowego bez oczyszczenia ze znaków specjalnych. Spreparowane archiwum „przemycało” więc polecenie, które urządzenie wykonywało u siebie. Atakowany był nie odbiorca wiadomości, tylko filtr, który miał go chronić.
💡 Brama bezpieczeństwa poczty to urządzenie przed serwerem pocztowym, które sprawdza każdą wiadomość, zanim trafi do skrzynki. Wstrzyknięcie poleceń (command injection) to przemycenie instrukcji dla systemu w miejscu, gdzie program spodziewa się zwykłych danych. SSVC to metoda oceny CISA, która opisuje m.in. realny skutek ataku. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Do firmy przychodzi e-mail ze spakowanym załącznikiem | Brama sprawdza zawartość i blokuje zagrożenia | Brama wykonuje polecenie ukryte w archiwum |
Szkolenia pracowników z ostrożności | Chronią przed otwieraniem podejrzanych plików | Nie pomagają, bo plik otwiera urządzenie, nie człowiek |
Korespondencja firmy | Przechodzi przez zaufany filtr | Przechodzi przez urządzenie, na którym działa obcy kod |
Treść wiadomości | Brama dokleja tylko ostrzeżenia | Napastnik może podglądać lub zmieniać przesyłki |
Ocena CVSS 6.1 | Sugeruje średni priorytet | Luka jest w KEV, więc priorytet jest najwyższy |
źródło: Pexels, Pavel DanilyukPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Nośnikiem ataku jest zwykły e-mail wysłany na dowolny adres w firmie, a załącznik przetwarza automatycznie sama brama. CISA ocenia, że ataku nie da się w pełni zautomatyzować, co pasuje do obrazu ataku celowanego, a nie masowego.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T+0 min | Przygotowanie archiwum z ukrytym poleceniem | Gotowy „zatruty” załącznik |
2. Dostarczenie | T+kilka minut | Wysłanie e-maila na dowolny adres w domenie firmy | Wiadomość trafia do bramy |
3. Wykonanie polecenia | T+sekundy od odbioru | Brama rozpakowuje archiwum i wykonuje ukryte polecenie | Kod napastnika działa na bramie |
4. Utrwalenie | T+godziny | Instalacja narzędzi zdalnego dostępu, reguły kopiujące pocztę | Stały dostęp i podgląd korespondencji |
5. Wykorzystanie pozycji | T+dni | Czytanie ofert, faktur i umów, przygotowanie podmiany treści | Wiedza o kontrahentach i płatnościach |
6. Oszustwo lub szpiegostwo | T+tygodnie | Podmiana numeru konta w fakturze, wysyłka wiadomości „od zaufanego kontrahenta”, dalszy atak na sieć | Straty finansowe, wyciek danych |
Mogę Ci jakoś pomóc?
Przez bramę pocztową przechodzi cała korespondencja firmy z otoczeniem, w postaci czytelnej, bo tylko taką da się sprawdzić. Urządzenie może też zmieniać wiadomości. Ocena CVSS 6.1 myli: CISA uznała skutek za całkowity, a luka jest wykorzystywana w prawdziwych atakach.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączona lub przebudowywana brama, opóźnienia w poczcie | Godziny do dni | 10 tys. do 100 tys. PLN (prace serwisowe, przestój) |
Bezpieczeństwo danych | Wyciek korespondencji, ofert, umów i danych osobowych z załączników | Dni do tygodni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Przelew na podmienione konto, koszty specjalistów | Tygodnie | 50 tys. do 1 mln PLN (zależnie od wartości przelewów) |
Reputacyjny | Kontrahenci oszukani wiadomościami „od firmy”, utrata zaufania | Miesiące | 30 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań); spory z kontrahentami o utracone płatności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Libraesva ESG
bez wersji z poprawką
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (kontrola nad urządzeniem, przez które przechodzi cała poczta, choć według doniesień bez uprawnień administratora systemu), a prawdopodobieństwo średnie, bo potwierdzono jeden celowany incydent, a producent rozesłał poprawkę automatycznie; firma z aktualną wersją jest poza zasięgiem tej luki, ale powinna sprawdzić, czy nie była celem wcześniej.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję ESG w panelu i porównać z progiem poprawki dla swojej gałęzi | Dziś | Administrator poczty |
2 | 🔴 NATYCHMIAST | Upewnić się, że automatyczna aktualizacja producenta została faktycznie zainstalowana; jeśli nie, zaktualizować ręcznie | Dziś | Administrator poczty / partner IT |
3 | 🟠 PILNIE | Przy gałęzi 5.3 lub starszej niż 5.0 potwierdzić u producenta właściwą wersję docelową | Do 3 dni | Administrator poczty |
4 | 🟠 PILNIE | Sprawdzić konta administracyjne bramy oraz reguły przekierowania i kopiowania poczty | Do 3 dni | Administrator poczty |
5 | 🟠 PILNIE | Sprawdzić wynik automatycznego skanowania oznak włamania, które producent dołączył do poprawki | Do 3 dni | Zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Wprowadzić zasadę potwierdzania zmian numeru konta kontrahenta telefonicznie, na znany wcześniej numer | Do 7 dni | CFO |
7 | 🟡 WAŻNIE | Do raportów o lukach dodać kolumnę „w katalogu CISA KEV”, która podnosi priorytet niezależnie od CVSS | Do 30 dni | CTO |
Producent wydał poprawki dla wszystkich gałęzi i rozesłał je automatycznie do instalacji lokalnych i chmurowych, więc problem dotyczy głównie urządzeń z wyłączonymi aktualizacjami lub na nietypowych gałęziach. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Włączenie automatycznych aktualizacji producenta | Wysoka | Łatwa |
Tymczasowe blokowanie lub kwarantanna skompresowanych załączników na poziomie serwera pocztowego | Średnia: ogranicza wektor, utrudnia pracę | Średnia |
Ograniczenie połączeń wychodzących bramy do niezbędnych adresów | Średnia: utrudnia napastnikowi kontrolę nad urządzeniem | Średnia |
Potwierdzanie zmian rachunków bankowych telefonicznie | Wysoka wobec oszustw na fakturach, niezależnie od luki | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Obsługa załączników w bramie | Możliwe wykonanie ukrytych poleceń | Poprawione oczyszczanie danych |
Reguły przekierowania poczty | Nieznany stan | Sprawdzone, tylko zatwierdzone |
Konta administracyjne bramy | Nieznany stan | Sprawdzone |
Zmiana konta kontrahenta | Na podstawie e-maila | Potwierdzana telefonicznie |
Zgodność z wymogami | Zaległość wobec terminu CISA z 20 października 2025 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Producent potwierdził jeden incydent |
Grupy przestępcze | Producent przypisuje atak podmiotowi działającemu na zlecenie obcego państwa, bez podania nazwy |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 6.1 ŚREDNIA (CVSS 3.1, MITRE); CISA SSVC: skutek techniczny całkowity |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Jeden potwierdzony incydent wg producenta |
Automatyzacja ataku | Nie (ocena CISA) |
Reakcja producenta | Awaryjna poprawka 17 godzin po wykryciu ataku, rozesłana automatycznie, ze skanerem oznak włamania |
Rozbieżność między średnią oceną CVSS a wpisem w KEV to dobra lekcja dla zarządu: katalog potwierdzonych ataków powinien mieć pierwszeństwo przed samą punktacją.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-59689
CVSS 3.1 (MITRE) 6.1/10 ████████████░░░░░░░░ ŚREDNIA
Skutek wg CISA SSVC total ████████████████████ CAŁKOWITY
CISA KEV TAK ████████████████████ ataki potwierdzone
Sprawca wg producenta państwo ████████████████░░░░ atak celowany
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-09 Producent wykrywa atak i w 17 godzin wydaje poprawkę
2025-09-19 Publikacja CVE-2025-59689
2025-09-29 CISA dodaje lukę do katalogu KEV
2025-10-20 Termin naprawy wg CISA dla agencji federalnych
... poprawki rozesłane automatycznie do instalacji
... prawie 11 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta: Libraesva, Security advisory: command injection vulnerability (CVE-2025-59689) . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-59689 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub dostawca poczty używa Libraesva ESG | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: wersja i gałąź ESG, data ostatniej aktualizacji | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację, jeśli wersja jest poniżej progu | CTO | DZISIAJ |
4 | Zlecić przegląd reguł przekierowania poczty i kont administracyjnych bramy | CTO | DO JUTRA |
5 | Wprowadzić telefoniczne potwierdzanie zmian numerów kont kontrahentów | CFO | DO JUTRA |
6 | Sprawdzić przelewy z ostatnich miesięcy, przy których zmieniono numer konta na podstawie e-maila | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące oszustw na fakturach | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja i gałąź Libraesva ESG działa u nas? | [wersja] | 🔴 |
2 | Czy automatyczne aktualizacje bramy są włączone i kiedy zainstalowano poprawkę? | [data] | 🔴 |
3 | Czy wynik skanu oznak włamania dołączonego do poprawki jest czysty? | TAK / NIE | 🔴 |
4 | Czy na bramie są reguły kopiujące lub przekierowujące pocztę na zewnętrzne adresy? | TAK / NIE | 🟠 |
5 | Czy lista kont administracyjnych bramy zawiera tylko znane osoby? | TAK / NIE | 🟠 |
6 | Czy brama może łączyć się z dowolnym adresem w internecie? | TAK / NIE | 🟠 |
7 | Czy nasze raporty o lukach uwzględniają obecność w katalogu CISA KEV? | TAK / NIE | 🟡 |
CVE-2025-59689 pozwala spreparowanym, skompresowanym załącznikiem wykonać polecenie na bramie pocztowej Libraesva ESG, zanim wiadomość trafi do pracownika. Mimo średniej oceny CVSS luka była wykorzystana w ataku przypisywanym obcemu państwu, a poprawki są dostępne od września 2025 roku, więc sprawdzenie wersji, reguł poczty i procedur płatności to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.