Luka XXE w systemie zgłoseń SysAid On-Prem pozwala bez logowania odczytać hasło administratora i przejąć jego konto. CISA potwierdza ataki, opis jest publiczny. Zaktualizuj do 24.4.60 i odetnij panel od internetu.
Ten alert jest dla zarządu, CTO i CFO firm, które prowadzą własny (on-prem) system zgłoszeń SysAid na swoim serwerze. Werdykt: jeśli SysAid On-Prem ma wersję 23.3.40 lub starszą, zaktualizuj go do 24.4.60 lub nowszej i odetnij panel od internetu dziś, bo luka pozwala bez logowania przejąć konto administratora, jest w katalogu CISA i ma publiczny opis ataku.
Amerykańska agencja CISA 22 lipca 2025 roku dopisała podatność CVE-2025-2775 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Tego samego dnia dopisała bliźniaczą lukę CVE-2025-2776 z tego samego biuletynu SysAid.
To luka typu XXE (odwołanie do zewnętrznej encji XML) w funkcji Checkin, która odbiera meldunki od urządzeń. Napastnik bez logowania wysyła do serwera spreparowane zgłoszenie XML zawierające polecenie odczytania pliku z serwera. Według watchTowr, który zgłosił błąd, pozwala to odczytać plik z hasłem głównego administratora zapisanym otwartym tekstem (InitAccount.cmd) i przejąć konto administratora, a w połączeniu z kolejnymi lukami doprowadzić do wykonania kodu jako SYSTEM.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 12 sierpnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-2775 (biuletyn SysAid dla wersji 24.4.60, razem z CVE-2025-2776) |
Data dodania do CISA KEV | 2025-07-22 |
Termin naprawy wg CISA | 2025-08-12 (21 dni od wpisu) |
Produkt | SysAid On-Prem (system zgłoszeń serwisowych, ITSM, w wersji instalowanej na własnym serwerze). SysAid SaaS w chmurze nie jest przedmiotem tego wpisu |
Wersje zagrożone | SysAid On-Prem 23.3.40 i wszystkie starsze. Warunek: dostęp sieciowy do funkcji Checkin, bez logowania |
Wersje bezpieczne | SysAid On-Prem 24.4.60 i nowsze (poprawka z 3 marca 2025 roku). To nowsza gałąź, więc aktualizacja może wymagać okna serwisowego i testów |
Typ podatności | Odwołanie do zewnętrznej encji XML (XXE); CWE-611 |
Ocena CVSS | VulnCheck: 9.3 KRYTYCZNA (CVSS 3.1). NVD: 7.5 WYSOKA (CVSS 3.1). Obie: atak przez sieć, bez uprawnień i bez udziału użytkownika. Bliźniacza CVE-2025-2776: 9.8 wg NVD |
Wyobraź sobie recepcję, która przyjmuje wypełnione formularze zgłoszeń od każdego, kto podejdzie. W formularzu jest rubryka „szczegóły”, a recepcjonista ma zwyczaj: jeśli w rubryce ktoś wpisze „przepisz tu treść dokumentu z szafy numer 5”, recepcjonista wstaje, otwiera szafę i przepisuje. Nie pyta, kto go o to prosi. Wystarczy więc wpisać w rubrykę „przepisz treść teczki z hasłami” i formularz wraca z hasłami.
System zgłoszeń SysAid przyjmuje dane w formacie XML. Podatna wersja wykonywała zawarte w nich polecenia odczytu plików. Napastnik wysyłał zgłoszenie z poleceniem odczytania pliku, w którym SysAid trzyma hasło administratora otwartym tekstem, i przejmował konto administratora. A administrator systemu zgłoszeń widzi całą historię: mapę sprzętu firmy, dane serwisowe, załączniki z hasłami wklejonymi przez użytkowników.
💡 SysAid On-Prem to system do obsługi zgłoszeń IT, zainstalowany na serwerze firmy. XXE to atak, w którym dokument XML zmusza serwer do odczytania pliku spoza dozwolonego zakresu. Funkcja Checkin przyjmuje meldunki od urządzeń, bez logowania. Przejęcie konta administratora daje dostęp do całej historii zgłoszeń i ustawień. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Urządzenie melduje się w funkcji Checkin | Serwer zapisuje status | Tak samo |
Spreparowane zgłoszenie XML z poleceniem odczytu pliku | Odrzucone | Serwer odczytuje i zwraca zawartość pliku |
Plik z hasłem administratora | Niedostępny z zewnątrz | Odczytany, hasło w rękach napastnika |
Konto administratora | Tylko dla uprawnionych | Przejęte bez logowania |
Historia zgłoszeń | Widoczna dla działu IT | Dostępna dla napastnika: mapa infrastruktury |
źródło: Pexels, Betül ÜstünPoniżej typowy przebieg ataku oparty na opisie watchTowr. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga logowania, ale wymaga dostępu sieciowego do serwera SysAid, najczęściej wystawionego do internetu. CISA oceniła, że atak da się zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie w internecie serwerów SysAid On-Prem | Lista celów |
2. Odczyt pliku | T+minuty | Wysłanie do funkcji Checkin zgłoszenia XML z poleceniem odczytu pliku InitAccount.cmd | Hasło administratora otwartym tekstem |
3. Logowanie | T+minuty | Zalogowanie się na konto administratora zdobytym hasłem | Pełny dostęp do systemu zgłoszeń |
4. Rozpoznanie firmy | T+godziny | Przegląd historii zgłoszeń i załączników: sprzęt, serwery, konta, hasła w zrzutach ekranu | Gotowa mapa infrastruktury |
5. Wykonanie kodu | T+godziny | Połączenie z kolejnymi lukami z biuletynu, aż do uruchomienia kodu jako SYSTEM (wg watchTowr) | Kontrola nad serwerem |
6. Rozprzestrzenienie | T+dni | Wejście do kolejnych systemów na podstawie zdobytych danych | Szersze włamanie, kradzież, ransomware |
Mogę Ci jakoś pomóc?
System zgłoszeń bywa traktowany jak pomocnicze narzędzie, a jest skarbnicą wiedzy o infrastrukturze i często stoi z panelem dostępnym z internetu, żeby pracownicy mogli zgłaszać sprawy z domu. Przejęcie konta administratora daje napastnikowi gotowy opis, gdzie atakować dalej.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie systemu zgłoszeń i analiza serwera, a przy dalszym ataku przestój innych systemów | Dni | 20 tys. do 250 tys. PLN (przestój, odbudowa) |
Bezpieczeństwo danych | Wyciek historii zgłoszeń, danych o infrastrukturze, haseł z załączników | Minuty od ataku | 30 tys. do 200 tys. PLN (analiza powłamaniowa, wymiana haseł) |
Finansowy | Okup, koszty specjalistów, straty po ataku wykorzystującym zdobyte dane | Tygodnie | 50 tys. do 700 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, jeśli w zgłoszeniach były ich dane | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla SysAid On-Prem <= 23.3.40
dostępnego z internetu
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie (brak logowania, automatyzacja, publiczny opis ataku, EPSS około 0,43), a wpływ bardzo wysoki, bo przejęcie konta administratora i możliwe wykonanie kodu jako SYSTEM daje kontrolę nad serwerem i wiedzę o całej infrastrukturze.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma używa SysAid On-Prem, w jakiej wersji i czy panel jest dostępny z internetu | Dziś | CTO / administrator |
2 | 🔴 NATYCHMIAST | Ograniczyć dostęp do serwera SysAid z internetu (VPN lub lista adresów) | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaplanować i wykonać aktualizację do SysAid On-Prem 24.4.60 lub nowszej | Do 3 dni | Administrator / partner SysAid |
4 | 🔴 NATYCHMIAST | Zmienić hasło głównego administratora SysAid i usunąć lub zabezpieczyć plik InitAccount.cmd z hasłem w postaci jawnej | Dziś | Administrator |
5 | 🟠 PILNIE | Przejrzeć logi serwera pod kątem nietypowych żądań do funkcji Checkin i logowań administratora od maja 2025 roku | Do 3 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Zmienić hasła, które mogły pojawić się w załącznikach do zgłoszeń, i uświadomić pracowników, by nie wklejali haseł do zgłoszeń | Do 7 dni | Dział IT / HR |
7 | 🟡 WAŻNIE | Ustalić cykl aktualizacji SysAid i dopisać go do rejestru systemów | Do 30 dni | CTO |
Producent wydał wersję 24.4.60 z poprawką, więc aktualizacja jest właściwą drogą, choć jako przejście na nowszą gałąź może wymagać przygotowania. Do jej wykonania pomagają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie panelu SysAid od internetu (VPN lub lista adresów) | Wysoka wobec ataków z internetu, nie chroni przed napastnikiem w sieci | Średnia |
Zmiana hasła administratora i zabezpieczenie pliku InitAccount.cmd | Średnia: unieważnia to, co mogło już wyciec | Łatwa |
Ograniczenie dostępu do funkcji Checkin tylko do znanych urządzeń, jeśli to możliwe w konfiguracji | Średnia | Średnia |
Monitorowanie żądań do serwera SysAid | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Przetwarzanie XML w funkcji Checkin | Wykonuje polecenia odczytu plików | Poprawione w wersji 24.4.60 |
Dostęp do panelu | Z internetu | Tylko z VPN lub zaufanych adresów |
Hasło administratora | Zapisane jawnie w pliku, możliwe do odczytu | Zmienione, plik zabezpieczony |
Hasła w załącznikach | Mogły wyciec | Zmienione, pracownicy uświadomieni |
Widoczność | Brak przeglądu logów | Logi przejrzane od maja 2025 roku |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA ocenia wykorzystanie jako aktywne, automatyzowalne, ze skutkiem technicznym częściowym |
Grupy przestępcze | Brak publicznych informacji. watchTowr zwraca uwagę, że SysAid był już wcześniej celem grup ransomware |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.3 KRYTYCZNA wg VulnCheck (CVSS 3.1); 7.5 WYSOKA wg NVD (CVSS 3.1). Bliźniacza CVE-2025-2776: 9.8 wg NVD |
PoC dostępny publicznie? | TAK: watchTowr opublikował 7 maja 2025 roku szczegółowy opis łańcucha ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Sina Kheirkhah i Jake Knott z watchTowr |
Prognoza EPSS | 0,430 (około 43% szansy próby wykorzystania w 30 dni), percentyl 0,987, odczyt FIRST z 16 września 2026; miesiąc wcześniej było wyżej (0,55), dla bliźniaczej CVE-2025-2776 nawet 0,64 |
Różnica między 9.3 a 7.5 dotyczy dwóch pól oceny (zmiana zakresu i wpływ na dostępność). NVD oceniła tę samą klasę błędu raz na 7.5, a bliźniaczą na 9.8, co pokazuje, że sama liczba nie wystarcza do decyzji. Jeśli obie luki naprawia jedna aktualizacja, nie ma sensu ich rozdzielać.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-2775
CVSS 3.1 (VulnCheck) 9.3/10 ██████████████████░░ KRYTYCZNA
CVSS 3.1 (NVD) 7.5/10 ███████████████░░░░░ WYSOKA
EPSS (próba w 30 dni) ~43% █████████░░░░░░░░░░░ WYSOKA (top 2%)
Publiczny opis ataku TAK ████████████████████ watchTowr
CISA KEV TAK ████████████████████ ataki potwierdzone 2024-12-20 watchTowr zgłasza pierwszą lukę XXE do SysAid
2025-03-03 SysAid wydaje wersję 24.4.60 z poprawkami (bez numerów CVE)
2025-05-07 watchTowr publikuje opis łańcucha ataku; publikacja CVE w NVD
2025-07-22 CISA dodaje CVE-2025-2775 i CVE-2025-2776 do KEV
2025-08-12 Termin naprawy wg CISA dla agencji federalnych
2026-09-16 EPSS 0,430, percentyl 0,987
... ponad rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Notatki wydania producenta z poprawką: documentation.sysaid.com/docs/24-40-60 . Opis łańcucha ataku od badaczy: watchTowr Labs, SysOwned . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-2775 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa SysAid On-Prem i czy panel jest dostępny z internetu | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastowe odcięcie panelu od internetu | CTO | DZISIAJ |
3 | Zatwierdzić okno serwisowe na aktualizację do 24.4.60 i zmianę hasła administratora | CTO | DZISIAJ |
4 | Zlecić przegląd logów serwera pod kątem śladów ataku | CTO | DO JUTRA |
5 | Ustalić, jakie dane osobowe znajdują się w historii zgłoszeń, na potrzeby ewentualnego zgłoszenia | CFO / inspektor ochrony danych | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić warunki wsparcia SysAid uprawniające do aktualizacji | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy SysAid On-Prem (na własnym serwerze)? | TAK / NIE | 🔴 |
2 | Jaka jest wersja SysAid? | [wersja] | 🔴 |
3 | Czy panel SysAid jest dostępny z internetu? | TAK / NIE | 🔴 |
4 | Kiedy zaktualizowano SysAid do 24.4.60 lub nowszej? | [data] | 🔴 |
5 | Czy zmieniono hasło administratora i zabezpieczono plik InitAccount.cmd? | TAK / NIE | 🟠 |
6 | Czy przejrzano logi pod kątem żądań do funkcji Checkin od maja 2025 roku? | TAK / NIE, [data] | 🟠 |
7 | Czy w załącznikach do zgłoszeń bywają hasła lub dane wrażliwe? | TAK / NIE | 🟡 |
CVE-2025-2775 pozwala bez logowania odczytać z serwera SysAid On-Prem plik z hasłem administratora i przejąć jego konto, a w połączeniu z innymi lukami uruchomić kod jako SYSTEM. CISA potwierdza ataki, a poprawka jest w wersji 24.4.60, więc odcięcie panelu od internetu, aktualizacja i zmiana hasła administratora to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.