Spreparowany obraz dysku VHD otwarty przez pracownika pozwala napastnikowi odczytać fragmenty pamięci Windows i ułatwia dalszy atak. CISA potwierdza wykorzystanie. Zainstaluj aktualizacje z marca 2025 i zablokuj obrazy dysków w poczcie.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy korzystają z komputerów i serwerów Windows. Werdykt: jeśli któraś maszyna nie ma aktualizacji zbiorczych z marca 2025 roku lub nowszych, zainstaluj je dziś, a przy okazji zablokuj obrazy dysków (VHD) w załącznikach poczty, bo luka jest już wykorzystywana w atakach.
Amerykańska agencja CISA 11 marca 2025 roku, w dniu wydania poprawki przez Microsoft, dopisała podatność CVE-2025-24991 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Microsoft zaznaczył, że luka była wykorzystywana, zanim ktokolwiek publicznie o niej wiedział.
Błąd dotyczy sterownika NTFS, czyli systemu plików obecnego w każdej instalacji Windows. Gdy pracownik dwukrotnie kliknie spreparowany plik obrazu dysku VHD, system podłącza go jako nowy napęd, a sterownik przy odczycie jego struktury sięga poza przydzielony obszar pamięci. Napastnik dostaje w ten sposób niewielkie fragmenty pamięci systemu, do których nie powinien mieć dostępu.
Sama luka niczego nie zmienia ani nie kasuje. Jest groźna jako element łańcucha: ujawnione fragmenty pamięci pomagają przeprowadzić kolejny, poważniejszy atak. Termin naprawy wyznaczony przez CISA minął 1 kwietnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-24991 |
Data dodania do CISA KEV | 2025-03-11 |
Termin naprawy wg CISA | 2025-04-01 (21 dni od wpisu) |
Produkt | Microsoft Windows, system plików NTFS |
Wersje zagrożone | Windows bez aktualizacji z marca 2025: biuletyn wymienia 37 pozycji, od Windows Server 2008 SP2 po Windows Server 2025 i Windows 11 24H2, w tym instalacje Server Core. Warunek ataku: użytkownik musi zamontować (otworzyć) spreparowany plik VHD |
Wersje bezpieczne | Aktualizacje zbiorcze z 11 marca 2025 lub nowsze, m.in. Windows 11 24H2: KB5053598 (kompilacja 26100.3403); Windows 10 22H2: KB5053606 (19045.5608); Windows Server 2022: KB5053603. Najnowsza dostępna: bieżąca aktualizacja zbiorcza dla danego wydania |
Typ podatności | Odczyt poza zakresem bufora (out-of-bounds read) prowadzący do ujawnienia informacji; CWE-125 |
Ocena CVSS | Microsoft (w NVD): 5.5 (CVSS 3.1, ŚREDNIA), waga producenta „Important”. Atak lokalny, niska złożoność, wymagany udział użytkownika, wpływ tylko na poufność. NVD nie wystawił własnej oceny |
Jedna rozbieżność: opis Microsoft i CISA mówi o „uprawnionym napastniku”, a wektor CVSS zakłada brak wymaganych uprawnień, ale konieczne działanie użytkownika. W praktyce oznacza to, że napastnik nie potrzebuje własnego konta, jeśli skłoni zalogowanego pracownika do otwarcia pliku.
Wyobraź sobie, że do biura przychodzi paczka z „katalogiem produktów”, ale w środku jest cała szafka na dokumenty. Pracownik wstawia ją do archiwum, a archiwista, porządkując jej spis zawartości, przez pomyłkę odczytuje na głos także kilka kartek z sąsiedniej, poufnej szafy. Nadawca paczki słucha pod drzwiami i notuje, gdzie w archiwum leżą ważne dokumenty.
Tak działa ta luka. Plik VHD po dwukrotnym kliknięciu staje się w Windows nowym dyskiem z literą obok dysku C. Sterownik NTFS czyta jego strukturę i przy spreparowanych danych ujawnia okruchy pamięci systemu. Te okruchy mówią napastnikowi, gdzie w pamięci leżą elementy systemu, a to zdejmuje jedno z ważnych zabezpieczeń Windows, które przy każdym uruchomieniu rozmieszcza je w innych miejscach.
💡 VHD (Virtual Hard Disk) to plik będący obrazem całego dysku; po otwarciu Windows traktuje go jak nowy napęd. NTFS to system plików, w którym Windows zapisuje dane na dyskach. Odczyt poza zakresem oznacza, że program czyta pamięć, która do niego nie należy. Sterta to obszar pamięci z danymi roboczymi programów. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera plik VHD z poczty | Pojawia się nowy dysk z folderami | Wygląda tak samo, ale napastnik dostaje fragmenty pamięci systemu |
Filtr poczty ocenia załącznik | Obraz dysku często przechodzi jako „pojemnik na dane” | Przechodzi i staje się narzędziem ataku |
Losowe rozmieszczenie elementów systemu w pamięci | Utrudnia napastnikowi trafienie w konkretny adres | Ujawnione dane pomagają ustalić adresy |
Kolejna luka pozwalająca przejąć komputer | Trudna do skutecznego użycia | Znacznie łatwiejsza w połączeniu z wyciekiem pamięci |
Widoczne objawy | Brak | Brak: bez komunikatu, zawieszenia ani zmiany plików |
źródło: Unsplash, William WarbyPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie działa przez samo wysłanie pliku: pracownik musi go zapisać i zamontować, czyli otworzyć dwukrotnym kliknięciem. Dlatego ataki opierają się na przekonującej wiadomości, a wyciek pamięci służy zwykle jako przygotowanie do użycia kolejnej luki.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przynęta | T+0 min | Wysyłka wiadomości z plikiem VHD udającym katalog, fakturę lub dokumentację | Załącznik w skrzynce pracownika |
2. Otwarcie | T+minuty do godzin | Pracownik klika dwukrotnie, Windows montuje obraz jako nowy dysk | Sterownik NTFS czyta spreparowaną strukturę |
3. Wyciek pamięci | T+sekundy od otwarcia | Odczyt fragmentów pamięci systemu | Napastnik wie, gdzie w pamięci leżą elementy systemu |
4. Kolejny krok | T+minuty | Użycie innej luki lub złośliwego programu, dla którego ujawnione dane są potrzebne | Przejęcie komputera staje się realne |
5. Rozszerzenie | T+godziny do dni | Kradzież haseł, dostęp do innych komputerów i serwerów | Napastnik działa w sieci firmy |
6. Skutek | T+dni do tygodni | Kradzież danych lub przygotowanie szyfrowania | Incydent wykryty często dopiero po tygodniach |
Mogę Ci jakoś pomóc?
Ocena 5.5 wygląda niegroźnie i luka rzeczywiście sama niczego nie niszczy. Jej wartość dla napastnika polega na tym, że ułatwia poważniejszy atak, a potwierdzone wykorzystanie oznacza, że ktoś już ją w takim łańcuchu użył. Najgorsze jest to, że nie daje żadnych widocznych objawów.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przy połączeniu z inną luką: przejęte komputery, konieczność ich odtworzenia | Dni od otwarcia pliku | 20 tys. do 200 tys. PLN (przestój, odtwarzanie stanowisk) |
Bezpieczeństwo danych | Ujawnione fragmenty pamięci, a w dalszym łańcuchu kradzież haseł i dokumentów | Godziny do dni | 20 tys. do 150 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty specjalistów i ustalania przebiegu zdarzeń, trudniejszego po tygodniach | Tygodnie | 50 tys. do 400 tys. PLN łącznie |
Reputacyjny | Pytania klientów i ubezpieczyciela, jeśli dojdzie do wycieku | Miesiące | 20 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Przy wycieku danych osobowych obowiązek zgłoszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z komputerami Windows bez aktualizacji z 03.2025
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . ■ . . ← ŚREDNIE
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest średni, bo sama luka ujawnia tylko fragmenty pamięci, a staje się poważna dopiero w łańcuchu z inną luką; prawdopodobieństwo średnie, bo atak wymaga otwarcia pliku przez pracownika, ale jest potwierdzony przez CISA, a firma bez blokady plików VHD w poczcie powinna traktować ryzyko jako wyższe.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić w konsoli aktualizacji (WSUS, Intune, RMM), czy wszystkie komputery i serwery mają aktualizacje z marca 2025 lub nowsze | Dziś | Administrator systemów |
2 | 🔴 NATYCHMIAST | Zainstalować bieżącą aktualizację zbiorczą na każdej maszynie z zaległościami, także na komputerach produkcyjnych i rzadko używanych | Dziś | Administrator systemów / partner IT |
3 | 🟠 PILNIE | Zablokować w bramie pocztowej załączniki z obrazami dysków (VHD, VHDX, ISO, IMG), z wyjątkami tylko dla uzasadnionych skrzynek | Do 3 dni | Administrator poczty |
4 | 🟠 PILNIE | Poinformować pracowników, że plik otwierający się jako „nowy dysk” należy zgłosić do IT | Do 7 dni | Kierownik IT |
5 | 🟡 WAŻNIE | Rozważyć blokadę montowania obrazów dysków na stanowiskach, które tego nie potrzebują | Do 30 dni | Administrator systemów |
6 | 🟡 WAŻNIE | Wprowadzić raport miesięczny o stanie aktualizacji Windows dla zarządu | Do 30 dni | CTO |
Microsoft wydał poprawki dla wszystkich wymienionych wersji i w biuletynie nie podał żadnego obejścia ani środka łagodzącego. Jedyną naprawą jest aktualizacja, a poniższe miary tylko zmniejszają szansę ataku. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Instalacja aktualizacji zbiorczej (jedyna poprawka wskazana przez producenta) | Wysoka: usuwa lukę | Łatwa, wymaga restartu |
Blokada plików VHD, VHDX, ISO i IMG w załącznikach poczty | Wysoka dla drogi przez pocztę, nie chroni przed plikami z innych źródeł | Łatwa |
Blokada automatycznego montowania obrazów dysków przez użytkowników | Średnia do wysokiej: zamyka warunek ataku | Średnia, może przeszkadzać działom technicznym |
Krótkie przypomnienie dla pracowników o nietypowych plikach | Niska do średniej: zależy od czujności ludzi | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Sterownik NTFS na komputerach | Część maszyn bez poprawki z marca 2025 | Wszystkie z bieżącą aktualizacją |
Poczta przychodząca | Obrazy dysków przechodzą jako zwykłe załączniki | Obrazy dysków zatrzymywane na wejściu |
Pracownicy | Otwierają „nowy dysk” bez zastanowienia | Wiedzą, że to nietypowe i zgłaszają |
Komputery produkcyjne i rzadko używane | Pomijane przy aktualizacjach | Objęte tym samym cyklem |
Zgodność z terminem CISA | Zaległość od 1 kwietnia 2025 (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Microsoft podał, że luka była wykorzystywana przed wydaniem poprawki |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 5.5 ŚREDNIA (CVSS 3.1, Microsoft), waga producenta „Important” |
PoC dostępny publicznie? | Brak publicznych informacji; przed poprawką luka nie była publicznie znana |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Zgłaszający anonimowy |
Prognoza EPSS | Około 2% szansy próby wykorzystania w najbliższych tygodniach (wg analizy źródłowej); niska wartość typowa dla ataków wymagających działania użytkownika |
Niska prognoza EPSS i potwierdzone ataki nie są sprzeczne: EPSS opisuje, jak popularna będzie luka wśród ogółu napastników, a katalog KEV mówi, że ktoś już jej użył:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-24991
CVSS 3.1 (Microsoft) 5.5/10 ███████████░░░░░░░░░ ŚREDNIA
EPSS (próba w 30 dni) ~2% ░░░░░░░░░░░░░░░░░░░░ NISKA
Luka dnia zerowego TAK ████████████████████ ataki przed poprawką
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia przed 03.2025 Wykorzystanie luki przed publiczną informacją (wg Microsoft)
2025-03-11 Microsoft wydaje poprawki w aktualizacjach zbiorczych
2025-03-11 Publikacja CVE w NVD, CISA dodaje lukę do katalogu KEV
2025-04-01 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 17 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Microsoft z listą poprawek: msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-24991 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-24991 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać raport: które komputery i serwery Windows nie mają aktualizacji z ostatnich 30 dni | CTO | DZISIAJ |
2 | Zatwierdzić instalację zaległych aktualizacji, także na komputerach produkcyjnych | CTO | DZISIAJ |
3 | Zlecić sprawdzenie, czy poczta przepuszcza załączniki VHD, ISO i IMG | CTO | DZISIAJ |
4 | Zatwierdzić blokadę obrazów dysków w poczcie i listę ewentualnych wyjątków | CTO | DO JUTRA |
5 | Przekazać pracownikom krótką informację o nietypowych plikach otwierających się jako dysk | CTO | DO JUTRA |
6 | Sprawdzić, czy budżet obejmuje narzędzie do raportowania stanu aktualizacji | CFO | DO JUTRA |
7 | Sprawdzić w polisie cyberubezpieczenia wymogi dotyczące instalacji poprawek | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile komputerów i serwerów Windows nie ma aktualizacji zbiorczej z ostatniego miesiąca? | [liczba] | 🔴 |
2 | Kiedy ostatnio zaktualizowano komputery produkcyjne, kioski i inne rzadko używane maszyny? | [data] | 🔴 |
3 | Czy nasza brama pocztowa blokuje załączniki VHD, VHDX, ISO i IMG? | TAK / NIE | 🔴 |
4 | Czy ktoś w firmie legalnie otrzymuje obrazy dysków pocztą? | TAK / NIE, [kto] | 🟠 |
5 | Czy użytkownicy mogą montować obrazy dysków na swoich komputerach? | TAK / NIE | 🟠 |
6 | Czy mamy systemy Windows bez wsparcia producenta? | TAK / NIE, [liczba] | 🟠 |
7 | Czy pracownicy wiedzą, komu zgłosić podejrzany plik lub „nowy dysk”? | TAK / NIE | 🟡 |
CVE-2025-24991 pozwala napastnikowi odczytać fragmenty pamięci Windows, gdy pracownik otworzy spreparowany plik VHD, co ułatwia dalsze przejęcie komputera. Microsoft wydał poprawki 11 marca 2025 roku bez obejść, a termin CISA minął 1 kwietnia 2025 roku, więc zaległe aktualizacje i blokada obrazów dysków w poczcie to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.