Tag: Firewall

Wprowadzenie do problemu / definicja luki

Badacze z Unit 42 (Palo Alto Networks) oraz amerykańskie media branżowe informują o trwającej fali skanowania i włamań do zapór Cisco Adaptive Security Appliance (ASA) – popularnych urządzeń brzegowych używanych w urzędach i instytucjach publicznych w USA, Europie i Azji (w tym m.in. w Polsce). Atak przypisywany jest grupie Storm-1849 / UAT4356, którą łączy się z wcześniejszą kampanią ArcaneDoor wymierzoną w urządzenia perymetryczne. Wykorzystywany jest łańcuch błędów w ASA, w tym CVE-2025-20333 oraz CVE-2025-20362.

W skrócie

• Co się dzieje? Odnotowano wzmożone skanowanie i eksploatację firewalli Cisco ASA należących do instytucji rządowych i podmiotów z sektorów obronnego i finansowego.
• Kto stoi za atakami? Storm-1849 / UAT4356 – aktor powiązany z kampanią ArcaneDoor; analizy infrastruktur wskazują na związki z podmiotami z Chin.
• Jakie luki? Co najmniej CVE-2025-20333 (RCE, CVSS 9.9) i CVE-2025-20362 (eskalacja uprawnień), często łączone w łańcuch.
• Skutki? Utrzymanie trwałej obecności na urządzeniu nawet po restarcie i aktualizacji, dostęp do ruchu i segmentów sieciowych za firewall’em.
• Co robić? Natychmiastowe łatanie, inwentaryzacja ASA/FTD, triage pod kątem kompromitacji, rozważenie wymiany EoS/EoL, pełny “re-keying” po incydencie.

Kontekst / historia / powiązania

W kwietniu 2024 r. Cisco Talos opisało kampanię ArcaneDoor, w której szpiegowskie implanty na urządzeniach perymetrycznych (m.in. ASA/FTD) służyły do przechwytywania ruchu i pivotowania w głąb sieci. W wrześniu 2025 r. CISA wydała dyrektywę awaryjną nakazującą agencjom federalnym w 1 dzień załatać ASA i przeprowadzić forensykę, wskazując na aktywną eksploatację nowo ujawnionych luk. Wskazywano również na nakładanie się aktywności z kampaniami przypisywanymi państwu chińskiemu.

Analiza techniczna / szczegóły luki

Wektory i łańcuch ataku

• CVE-2025-20333: zdalne wykonanie kodu (RCE) w ASA (wysoka krytyczność).
• CVE-2025-20362: obejście/eskalacja uprawnień.
  Aktórzy łączą oba błędy, aby uzyskać uprzywilejowany dostęp i wdrożyć mechanizmy trwałości.

TTPs obserwowane przez Cisco i Unit 42

• Utrwalanie dostępu: manipulacja pamięcią/konfiguracją i techniki pozwalające przetrwać restarty i upgrade’y; zalecany factory reset oraz pełna wymiana haseł/kluczy po podniesieniu wersji.
• Ukrywanie śladów: wyłączanie logowania i celowe crashowanie urządzenia, aby utrudnić analizę.
• Celowanie globalne: IP instytucji rządowych w USA, Europie (m.in. PL, FR, NO, NL, ES, UK), Azji i innych regionach.

Atrybucja
Unit 42 obserwowało ciągłość działań Storm-1849/UAT4356 w październiku 2025 r. (z przerwą w Golden Week), a wcześniejsze analizy Censys łączyły infrastrukturę ArcaneDoor z podmiotami w Chinach.

Praktyczne konsekwencje / ryzyko

• Ryzyko strategiczne: uzyskanie pozycji na urządzeniach brzegowych rządu/krytycznej infrastruktury otwiera drogę do długotrwałej inwigilacji ruchu, pozyskiwania poświadczeń, modyfikacji polityk oraz lateral movement.
• Trwałość i odporność na remediację: techniki utrzymania po aktualizacjach sprawiają, że samo patchowanie nie wystarcza — potrzebny jest pełny proces odtworzenia zaufania.
• Zasięg geograficzny i sektorowy: poza USA celem są administracje w Europie i Azji, a także sektor finansowy i obronny.

Rekomendacje operacyjne / co zrobić teraz

1. Natychmiastowe łatanie ASA/FTD do wersji usuwających CVE-2025-20333 i CVE-2025-20362. Zastosuj zalecenia Cisco „Continued Attacks Against Cisco Firewalls”.
2. Inwentaryzacja i triage: policz wszystkie ASA/FTD (także ukryte/niezarządzane), sprawdź wskaźniki włamania (IOCs), porównaj z artefaktami ArcaneDoor/Storm-1849.
3. Re-keying po incydencie: factory reset urządzeń, następnie pełna wymiana haseł, certyfikatów, kluczy i konfiguracji z zaufanych źródeł.
4. Wycofanie EoS/EoL: urządzenia 5500-X bez wsparcia lub z kończącym się wsparciem odłączyć/wymienić; brak patchy = stałe ryzyko.
5. Twarde segmentowanie i monitoring: UBA/NDR na ruchu z/do strefy „edge”, reguły detekcyjne dla anomalii VPN/SSL i zmian konfiguracji.
6. Zgodność z zaleceniami rządowymi: śledź komunikaty CISA/NSA/NCSC i stosuj ich checklisty reagowania na działania aktorów państwowych.

Różnice / porównania z innymi przypadkami

• ArcaneDoor (2024) vs. kampania 2025: Ta pierwsza wykorzystywała dwie 0-day (m.in. „Line Dancer/Line Runner”); tegoroczna fala obejmuje nowe CVE-2025-20333/20362 i wykazuje większą dojrzałość w utrzymaniu dostępu po aktualizacjach.
• Aktor: w 2024 r. atrybucja była ostrożna; dziś istnieje spójniejsza układanka łącząca infrastrukturę i TTPs z ekosystemem państwowych aktorów z Chin.

Podsumowanie / kluczowe wnioski

• Urządzenia brzegowe ASA pozostają głównym celem operacji szpiegowskich.
• Samo „załatanie” nie przywraca zaufania — konieczny jest reset, re-keying i forensyka.
• Organizacje rządowe i krytyczna infrastruktura powinny traktować te zdarzenia jako kompromitację perymetru i wprowadzić twardsze kontrole dostępu oraz ciągłe monitorowanie.

Źródła / bibliografia

1. The Record: Chinese hackers scanning, exploiting Cisco ASA firewalls used by governments worldwide (31 października 2025). (The Record from Recorded Future)
2. Unit 42 (Palo Alto Networks): September 2025 Zero-Day Vulnerabilities Affecting Cisco Software (26 września 2025). (Unit 42)
3. Cisco: Continued Attacks Against Cisco Firewalls (materiały techniczne i zalecenia). (sec.cloudapps.cisco.com)
4. NSA: Guidance to counter China state-sponsored actors targeting global critical infrastructure (27 sierpnia 2025). (nsa.gov)
5. Censys: Analysis of ArcaneDoor Threat Infrastructure Suggests Potential Ties to Chinese-Based Actor. (censys.com)

Wprowadzenie do problemu / definicja luki

TP-Link opublikował dwa komunikaty bezpieczeństwa dotyczące bramek Omada (serie ER/G/FR), opisujące łącznie cztery podatności: dwie związane z OS Command Injection (w tym jedna możliwa bez uwierzytelnienia), jedną Command Injection po uwierzytelnieniu admina oraz wektor uzyskania powłoki root przy „ograniczonych warunkach”. Wszystkie błędy mają dostępne poprawki firmware.

W skrócie

• CVE-2025-6542 (CVSS v4 9.3, krytyczna) – nieautoryzowane zdalne RCE przez wstrzyknięcie poleceń.
• CVE-2025-6541 (CVSS v4 8.6, wysoka) – RCE po zalogowaniu do panelu www.
• CVE-2025-7850 (CVSS v4 9.3, krytyczna) – wstrzyknięcie poleceń po uwierzytelnieniu admina.
• CVE-2025-7851 (CVSS v4 8.7, wysoka) – możliwość uzyskania root shell przy spełnieniu określonych warunków.
• Dotyczy wielu modeli Omada; TP-Link udostępnił tabelę „Affected/Fixed Version” z konkretnymi buildami firmware.

Kontekst / historia / powiązania

Producent potwierdził podatności 21 października 2025 r. i sukcesywnie publikował wersje naprawcze. Media branżowe (SecurityWeek, BleepingComputer) nagłośniły, że jedna z luk pozwala na zdalną, nieautoryzowaną egzekucję poleceń, co czyni ją atrakcyjną dla botnetów i operatorów kampanii masowych. W NVD pojawiły się wpisy dla nowych CVE (np. CVE-2025-7850).

Analiza techniczna / szczegóły luki

Zakres CVE i wektory:

• CVE-2025-6542 – AV:N/AC:L/PR:N/UI:N (CVSS v4), czyli zdalnie, bez autoryzacji, niska złożoność: podatność typu OS Command Injection w interfejsie zarządzania skutkująca wykonaniem dowolnych poleceń OS.
• CVE-2025-6541 – podobny efekt (RCE), ale wymagane jest zalogowanie do panelu www (PR:H).
• CVE-2025-7850 – Command Injection po uwierzytelnieniu admina (CVSS v4 9.3).
• CVE-2025-7851 – możliwość uzyskania root shell na systemie bazowym „w ograniczonych warunkach” (wysoka).

Modele i wersje (wybór): ER605 ≥ 2.3.1 Build 20251015, ER7206 ≥ 2.2.2 Build 20250724, ER707-M2 ≥ 1.3.1 Build 20251009, ER7412-M2 ≥ 1.1.0 Build 20251015, ER8411 ≥ 1.3.3 Build 20251013, ER7212PC ≥ 2.1.3 Build 20251016, G36 ≥ 1.1.4 Build 20251015, G611 ≥ 1.2.2 Build 20251017, FR205 ≥ 1.0.3 Build 20251016, FR307-M2 ≥ 1.2.5 Build 20251015, FR365 ≥ 1.1.10 Build 20250626. Pełną tabelę „Affected/Fixed” znajdziesz w advisory TP-Link.

Praktyczne konsekwencje / ryzyko

• Przejęcie urządzenia i sieci: zdalne RCE bez uwierzytelnienia (CVE-2025-6542) ułatwia pełen kompromis bramki i pivot w kierunku zasobów LAN/VLAN.
• Utrata poufności i integralności: atakujący mogą modyfikować konfigurację routingu/VPN, wstrzykiwać reguły NAT/ACL, tunelować ruch, podsłuchiwać lub przekierowywać sesje.
• Automatyzacja ataków: realne ryzyko integracji do skanerów/botnetów skanujących Internet pod kątem paneli Omada. Media branżowe wskazują na krytyczność błędów i potencjał nadużyć.

Rekomendacje operacyjne / co zrobić teraz

1. Natychmiastowy update firmware do wersji „Fixed” wymienionych przez TP-Link (patrz tabele w advisory). W środowiskach rozproszonych rozplanuj aktualizacje w oknach serwisowych, zaczynając od urządzeń z ekspozycją internetową.
2. Odizoluj panel zarządzania (Management VLAN, dostęp wyłącznie z sieci administracyjnej; rozważ ACL/firewall na adres IP kontrolera).
3. Wyłącz zdalny dostęp z Internetu (HTTPS/HTTP/SSH), jeśli nie jest absolutnie potrzebny; w razie konieczności – VPN + MFA.
4. Zmień hasła admina po aktualizacji (TP-Link zaleca to wprost przy 7850/7851). Użyj unikalnych, długich haseł i ogranicz liczbę kont uprzywilejowanych.
5. Monitoring i detekcja:
   • przegląd logów pod kątem nietypowych zmian konfiguracyjnych, restartów, nowych kont/kluczy, nieoczekiwanych procesów;
   • wdroż NDR/IDS przy segmentach za bramką; stwórz reguły na wzorce exploitation (komendy systemowe w parametrach HTTP).
6. Zarządzanie powierzchnią ataku: publikuj changelog sprzętu, inwentaryzuj dokładne buildy firmware i porównuj z tabelami producenta; automatyzuj sprawdzenia (np. Ansible/SSH + parsowanie wersji).
7. Plan reakcji: jeśli podejrzewasz kompromis, wykonaj factory reset + reinstall na wersji naprawczej, odtwórz konfigurację ze zweryfikowanego backupu, wymuś rotację haseł i certyfikatów.

Różnice / porównania z innymi przypadkami

W przeszłości obserwowano kampanie masowe wykorzystujące luki RCE w urządzeniach SOHO/SMB TP-Link (dodawane do CISA KEV, wykorzystywane przez botnety). Bieżący zestaw CVE zawiera bez-auth RCE (6542), co plasuje go w grupie najbardziej krytycznych błędów – podobnie jak wcześniejsze incydenty, lecz dotyczy linii Omada używanej często w małych/średnich firmach i sieciach SDN. (Por. relacje prasowe nt. wcześniejszych fal ataków na TP-Link).

Podsumowanie / kluczowe wnioski

• Krytyczna luka CVE-2025-6542 umożliwia zdalne, nieautoryzowane RCE; pozostałe trzy CVE eskalują skutki po uwierzytelnieniu.
• Patch now: zaktualizuj ER/G/FR do wersji „Fixed”, ogranicz dostęp do panelu, zmień hasła i monitoruj anomalie.
• Traktuj urządzenia brzegowe jak krytyczne elementy SOC: telemetria, segmentacja, minimalny dostęp i szybkie cykle łatania.

Źródła / bibliografia

• TP-Link Omada: Statement on OS command injection vulnerabilities (CVE-2025-6541/6542), 21.10.2025. (Omada Networks Support)
• TP-Link Omada: Statement on command injection and root access vulnerabilities (CVE-2025-7850/7851), 21.10.2025. (Omada Networks Support)
• SecurityWeek: Critical Vulnerabilities Patched in TP-Link’s Omada Gateways, 22.10.2025. (SecurityWeek)
• BleepingComputer: TP-Link warns of critical command injection flaw in Omada gateways, 22.10.2025. (BleepingComputer)
• NVD: CVE-2025-7850 – szczegóły i metryka CVSS v4.0, 20–22.10.2025. (NVD)