Archiwa: SIEM - Strona 43 z 46 - Security Bez Tabu

Tag: SIEM

Luki w konfiguratorze HMI Fuji Electric (V-SFT) narażają zakłady przemysłowe na ataki

Wprowadzenie do problemu / definicja luki

Fuji Electric udostępniło poprawki dla V-SFT – oprogramowania do tworzenia i konfiguracji interfejsów HMI serii MONITOUCH. Zidentyfikowane luki pozwalają napastnikowi doprowadzić do wycieku informacji, awarii aplikacji (ABEND) lub wykonania dowolnego kodu na stacji inżynierskiej, jeśli użytkownik otworzy złośliwy plik projektu. O podatnościach poinformował badacz Michael Heinzl; koordynację przeprowadziło JPCERT/CC.

W skrócie

  • Produkty: V-SFT (narzędzie konfiguracyjne HMI MONITOUCH).
  • Wersje podatne: do v6.2.7.0 włącznie; producent publikuje wydanie v6.2.9.0.
  • Wektor ataku: otwarcie spreparowanego pliku V-SFT (wymaga socjotechniki). Kod wykonuje się z uprawnieniami zalogowanego użytkownika.
  • Skutki: RCE/DoS/ujawnienie informacji; lokalna skala oddziaływania, ale z konsekwencjami dla całej sieci OT.

Kontekst / historia / powiązania

V-SFT nie po raz pierwszy trafia na listy ostrzeżeń. W latach 2024–2025 CISA kilkukrotnie publikowała porady bezpieczeństwa dla tego ekosystemu (V-SFT i powiązane narzędzia, m.in. Tellus Lite), wskazując na błędy prowadzące do wykonania kodu i zalecając aktualizacje oraz segmentację sieci. Nowe podatności wpisują się w ten ciąg problemów jakościowych.

Analiza techniczna / szczegóły luki

Według JVN (JPCERT/CC) bieżący pakiet obejmuje co najmniej dziewięć CVE w V-SFT ≤ 6.2.7.0, m.in.:

  • CVE-2025-61856 – stack-based buffer overflow w VS6ComFile!CV7BaseMap::WriteV7DataToRom
  • CVE-2025-61857/61858/61859 – out-of-bounds write w różnych funkcjach VS6ComFile
  • CVE-2025-61860/61861/61862/61863 – out-of-bounds read w modułach VS6MemInIF/VS6ComFile/CSaveData
  • CVE-2025-61864 – use-after-free w VS6ComFile!load_link_inf

Dla większości wpisów JVN podaje CVSS v4.0: 8.4 (lokalne/bez uprzywilejowania, interakcja użytkownika wymagana). NVD potwierdza opisy i podkreśla możliwość wykonania kodu po otwarciu specjalnie przygotowanego pliku. (jvn.jp)

Wydanie producenta V-SFT 6.2.9.0 jest dostępne na stronie „Improvement information”, choć nota wersji nie nazywa wprost poprawek bezpieczeństwa – to częsta praktyka w narzędziach OT. Zbieżność wersji i dat wskazuje, że to build łatający opisane CVE.

Praktyczne konsekwencje / ryzyko

Choć wektor jest „lokalny” (wymaga otwarcia pliku na stacji inżynierskiej), skuteczny RCE na EWS/eng. workstation daje atakującemu przyczółek w sieci OT: możliwość podmiany logiki HMI/PLC, kradzieży receptur, pivotu do segmentu IT i przerwania produkcji. Błędy w parserach projektów HMI są szczególnie groźne, bo pliki często krążą e-mailem/USB i bywają otwierane poza ścisłą kontrolą zmian. Źródła branżowe podkreślają konieczność edukacji użytkowników (socjotechnika) w parze z aktualizacjami.

Rekomendacje operacyjne / co zrobić teraz

  1. Zaktualizuj V-SFT do 6.2.9.0 lub nowszej – zgodnie z informacją producenta/JPCERT. Zweryfikuj wersję w całej organizacji (także u integratorów).
  2. Zakaz otwierania projektów z nieznanych źródeł. Wymuś obieg przez repozytorium inżynierskie z kontrolą wersji i podpisem. (Wektor: złośliwy plik projektu).
  3. Aplikacyjna kontrola uruchamiania i whitelisting na stacjach inżynierskich; blokuj procesy niebędące częścią łańcucha V-SFT. Również EDR z trybem tylko-monitoruj (zgodnie z wymaganiami dostawcy OT).
  4. Segmentacja i izolacja EWS (VLAN/zamek jednokierunkowy do IT, brak bezpośredniego Internetu), zasada najmniejszych uprawnień dla kont inżynierskich. Rekomendacje te są zbieżne z wcześniejszymi poradami CISA dla V-SFT.
  5. Kontrole detekcyjne: reguły SIEM/EDR na nietypowe uruchomienia V-SFT i odczyty plików projektu, monitorowanie tworzenia/ładowania DLL VS6*/V10*.
  6. Plan reagowania: w razie incydentu traktuj stację jako skompromitowaną, wykonaj „gold image” i przywróć projekt z zaufanego repozytorium.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

Wcześniejsze porady CISA z 2024 r. dla V-SFT dotyczyły m.in. type confusion/out-of-bounds write. Obecna seria CVE rozszerza spektrum o stack overflow i use-after-free, ale wektor pozostaje ten sam: plik projektu otwierany przez operatora/inżyniera. Wnioski: nawet po „załataniu” pojedynczych funkcji parser pozostaje obszarem wysokiego ryzyka, wymagając dyscypliny w procedurach otwierania i podpisywania projektów.

Podsumowanie / kluczowe wnioski

  • Nowe CVE w V-SFT ≤ 6.2.7.0 umożliwiają RCE po otwarciu złośliwego projektu; producent udostępnił v6.2.9.0.
  • Stacje inżynierskie to krytyczny punkt bezpieczeństwa OT – jeden klik może przechylić szalę na korzyść napastnika.
  • Aktualizacja + kontrola łańcucha projektów + segmentacja EWS to minimum higieny. Porady CISA pozostają aktualne.

Źródła / bibliografia

  1. SecurityWeek: „Fuji Electric HMI Configurator Flaws Expose Industrial Organizations to Hacking” (16 października 2025). (SecurityWeek)
  2. JVN (JPCERT/CC): „Multiple vulnerabilities in FUJI Electric V-SFT” – lista CVE i metryki CVSS (8 października 2025). (jvn.jp)
  3. NVD: szczegóły wybranych CVE (np. CVE-2025-61856/61860/61859). (NVD)
  4. Fuji Electric – „Improvement information” (lista wersji V-SFT, m.in. 6.2.9.0). (Monitouch)
  5. CISA ICS Advisories dla Fuji Electric V-SFT / Tellus – tło i zalecenia dobrych praktyk ICS (2024–2025). (CISA)

Krytyczna luka w SAP NetWeaver (CVE-2025-42944): deserializacja przez RMI-P4 pozwala na przejęcie serwera bez logowania

Wprowadzenie do problemu / definicja luki

W SAP NetWeaver AS Java ujawniono krytyczną podatność CVE-2025-42944 (CVSS 10.0), klasy insecure deserialization. Atakujący bez uwierzytelnienia mogą przesłać złośliwy ładunek do modułu RMI-P4 nasłuchującego na otwartym porcie i osiągnąć wykonanie poleceń w systemie operacyjnym serwera SAP. SAP ujęło problem w październikowym Patch Day jako aktualizację noty bezpieczeństwa (pierwsza poprawka wyszła we wrześniu 2025).

W skrócie

  • Identyfikator: CVE-2025-42944
  • Skala: CVSS 10.0 (krytyczna)
  • Komponent: SAP NetWeaver AS Java, interfejs RMI-P4
  • Wymagania ataku: brak uwierzytelnienia, zasięg sieciowy
  • Skutek: zdalne wykonanie kodu / komend OS, pełne przejęcie instancji
  • Status poprawek: poprawki opublikowane, uzupełnione w Patch Day październik 2025; systemy należy zaktualizować niezwłocznie.

Kontekst / historia / powiązania

Październikowy Patch Day SAP przyniósł pakiet łatek, w tym ponowne wzmocnienie zabezpieczeń wobec deserializacji w NetWeaver AS Java (CVE-2025-42944), a także korekty innych komponentów (m.in. SAP Print Service, SAP GUI for HTML, CSRF w AS ABAP). To sugeruje, że producent domyka scenariusze obejściowe względem pierwotnej poprawki z września.

W ostatnich miesiącach ekosystem SAP zmagał się z aktywnie wykorzystywanymi podatnościami, m.in. w Visual Composer (CVE-2025-31324, CVSS 10.0), która umożliwiała nieautoryzowany upload binariów i była łączona w łańcuchy RCE przez grupy APT. To podnosi wagę szybkiego patchowania NetWeavera oraz twardych kontroli na perymetrze.

Analiza techniczna / szczegóły luki

  • Klasa błędu: insecure deserialization w stosie Java.
  • Powierzchnia ataku: RMI-P4 — protokół komunikacyjny używany przez NetWeaver AS Java. Usługa nasłuchuje na interfejsie sieciowym i przetwarza przesyłane obiekty.
  • Warunki powodzenia: atak z sieci (zewnętrznej lub wewnętrznej), brak potrzeby posiadania konta SAP; dostarczenie specjalnie spreparowanego strumienia serializacji do otwartego portu RMI-P4.
  • Efekt: zainicjowanie łańcuchów deserializacji prowadzących do wykonania kodu/komend OS w kontekście procesu serwera aplikacyjnego.
  • Łatka październikowa: rozszerza ochronę wobec scenariuszy, których nie obejmowała łatka wrześniowa (tzw. defense-in-depth i/lub domknięcie wektorów obejścia).

Uwaga: szczegółowe artefakty (np. klasy, gadżety deserializacyjne) nie są publicznie opisane w notach SAP. Organizacje powinny polegać na oficjalnych poprawkach i kontrolach kompensacyjnych, nie na „sygnaturach” konkretnych łańcuchów.

Praktyczne konsekwencje / ryzyko

  • Pełne przejęcie instancji SAP AS Java, możliwość ruchu bocznego do systemów ABAP/S4 i baz danych.
  • Eksfiltracja danych (dane finansowe, HR, łańcuch dostaw), modyfikacje transakcji i integracji B2B.
  • Ransomware / sabotaż: zatrzymanie procesów biznesowych o krytycznym znaczeniu (ERP, SRM, BW/BOBJ).
  • Ryzyko CRQ/SoD: ominięcie mechanizmów autoryzacji dzięki wykonaniu kodu poza kontrolą aplikacyjną.
    Te wnioski wynikają z klasy błędu (RCE bez uwierzytelnienia) i roli NetWeavera w krajobrazie SAP oraz obserwowanej wcześniej aktywności wobec komponentów NetWeaver (np. Visual Composer).

Rekomendacje operacyjne / co zrobić teraz

1) Patchowanie (priorytet najwyższy)

  • Zastosuj październikowe poprawki SAP dla NetWeaver AS Java odnoszące się do CVE-2025-42944 (w tym aktualizację noty z września). Zweryfikuj, że wszystkie węzły/instancje w klastrze zostały zaktualizowane.

2) Ograniczenie ekspozycji RMI-P4

  • Ogranicz dostęp do interfejsu RMI-P4 do zaufanych sieci (ACL, segmentacja, WAF/Reverse Proxy/SAP Web Dispatcher), wyłącz zbędne usługi i protokoły zdalne.

3) Twardnienie i detekcja

  • Włącz wzmożone logowanie w AS Java i centralną korelację (SIEM).
  • Monitoruj nietypowe połączenia do portu usługi RMI-P4 i wzorce deserializacji/uruchamiania powłok.
  • Stosuj reguły EDR/NDR pod kątem: uruchomień interpreterów, living-off-the-land, tunelowania RMI, subsekwentnych połączeń do C2.
  • Przegląd praw i kluczy usługowych używanych przez integracje (minimalizacja szkód przy ewentualnym włamaniu).

4) Testy regresyjne i skany zgodności

  • Po aktualizacji wykonaj testy techniczne i biznesowe (interfejsy, RFC, JMS).
  • Zaktualizuj skanery i polityki zgodności (np. aby wykrywać stare wersje komponentów AS Java).

5) Zarządzanie ryzykiem

  • Dodaj CVE-2025-42944 do wewnętrznego rejestru ryzyka i KPI „patch SLA” dla systemów Internet-facing.
  • Przeprowadź table-top exercise dla scenariusza przejęcia AS Java i ruchu bocznego do krańcowych systemów finansowych.

Różnice / porównania z innymi przypadkami

  • CVE-2025-42944 (NetWeaver AS Java, RMI-P4, deserializacja, bez uwierzytelnienia) — RCE z sieci; krytyczne i pre-auth.
  • CVE-2025-31324 (Visual Composer, upload pliku) — również bardzo ciężkie (CVSS 10.0), często łączone w łańcuchy ataku; potwierdzona aktywna eksploatacja w 2025 r.
  • Inne łatki z Patch Day październik 2025 obejmują m.in. SAP Print Service (Directory Traversal, CVSS 9.8) oraz aktualizacje ABAP/GUI i CSRF — ważne, ale o innych wektorach.

Podsumowanie / kluczowe wnioski

  • CVE-2025-42944 to krytyczna, pre-auth RCE w SAP NetWeaver AS Java przez RMI-P4.
  • SAP wydało poprawki we wrześniu i dodatkowe zabezpieczenia w październiku 2025 — należy wdrożyć natychmiast i ograniczyć ekspozycję usług zdalnych.
  • Historia ostatnich ataków na NetWeaver (np. CVE-2025-31324) pokazuje, że opóźnienia w patchowaniu szybko przekładają się na kompromitacje.

Źródła / bibliografia

  1. The Hacker News — „New SAP NetWeaver Bug Lets Attackers Take Over Servers Without Login” (15 paź 2025). (The Hacker News)
  2. SAP — „Security Patch Day — October 2025” (aktualizacja not bezpieczeństwa, 2 dni temu). (support.sap.com)
  3. SecurityWeek — „SAP Patches Critical Vulnerabilities in NetWeaver, Print Service, SRM” (konkret dot. CVE-2025-42944 i uzupełnień październikowych). (SecurityWeek)
  4. Onapsis — „SAP Security Patch Day — October 2025” (tło do innych krytycznych poprawek i priorytetyzacja). (Onapsis)
  5. Onapsis / CISA — materiały dot. wcześniejszej, aktywnie wykorzystywanej luki CVE-2025-31324 (kontekst zagrożeń dla NetWeaver). (Onapsis)

Adobe łata krytyczną podatność w pakiecie współpracy (Connect). Co powinni zrobić administratorzy?

Wprowadzenie do problemu / definicja luki

Adobe opublikowało poprawki bezpieczeństwa usuwające krytyczną lukę w Adobe Connect, platformie do wirtualnych spotkań i webinarów. Najpoważniejszy błąd to DOM-based XSS (CVE-2025-49553), oceniony na CVSS 9.3, który – przy odpowiedniej sekwencji działań – może prowadzić do zdalnego wykonania kodu (RCE) po stronie klienta. Łatka jest dostępna w wydaniu Adobe Connect 12.10.

W skrócie

  • Produkty/wersje: Adobe Connect 12.9 i starsze na Windows i macOS. Naprawa w 12.10.
  • Najpoważniejsza luka: CVE-2025-49553 (DOM-XSS, CVSS 9.3) → możliwość wykonania kodu. Dodatkowo CVE-2025-49552 (DOM-XSS, CVSS 7.3) oraz CVE-2025-54196 (open redirect, CVSS 3.1).
  • Status exploitów: brak informacji o aktywnym wykorzystywaniu w środowisku produkcyjnym.
  • Szeroki kontekst: w tym samym cyklu Adobe załatało ponad 35 luk w różnych produktach (m.in. Illustrator, Bridge, Animate).

Kontekst / historia / powiązania

Aktualizacja jest częścią październikowego cyklu łatkowania (Patch Tuesday). Poza Connect, Adobe opublikowało również biuletyny dla innych aplikacji kreatywnych – np. Illustrator (APSB25-102) – gdzie wyeliminowano luki prowadzące do RCE. To potwierdza, że ekosystem Adobe regularnie otrzymuje zbiorcze poprawki obejmujące zarówno narzędzia biurowo-kolaboracyjne, jak i kreatywne.

Analiza techniczna / szczegóły luki

Zgodnie z biuletynem APSB25-70 dla Adobe Connect:

  • CVE-2025-49553 – DOM-based XSS (CWE-79), CVSS 9.3, krytyczna: atakujący może dostarczyć spreparowany ładunek (np. przez złośliwy link lub wstrzyknięty skrypt), który po interakcji użytkownika uruchomi się w kontekście przeglądarki i umożliwi wykonanie kodu, kradzież tokenów sesyjnych, eskalację działań w ramach aplikacji itp. Wektor: AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N.
  • CVE-2025-49552 – DOM-based XSS (CWE-79), CVSS 7.3: podobna kategoria, ale wymaga wyższych uprawnień i trudniejszych warunków do skutecznej eksploatacji.
  • CVE-2025-54196 – Open Redirect (CWE-601), CVSS 3.1: umożliwia przekierowanie użytkownika na niezweryfikowany adres (sprzyja phishingowi, kradzieży poświadczeń).

SecurityWeek potwierdza, że poprawki dla Connect dostarczono w wersji 12.10, równolegle z pakietem innych biuletynów (łącznie >35 luk).

Praktyczne konsekwencje / ryzyko

  • Ryzyko kompromitacji sesji i kont: DOM-XSS w aplikacjach webowych do spotkań pozwala na kradzież tokenów, wstrzyknięcie skryptów śledzących, przejęcie uprawnień w ramach aplikacji (np. moderowanie pokoju, dostęp do nagrań, materiałów).
  • Łańcuchowe nadużycia: Open Redirect ułatwia kampanie spear-phishingowe kierujące do stron wyłudzających MFA lub SSO, co może stać się etapem wstępnym do BEC/APT.
  • Ekspozycja w organizacjach hybrydowych: Connect jest często publikowany w internecie (dla gości/webinarów), co obniża próg dotarcia atakującego. (Wniosek na podstawie charakteru produktu i biuletynu.)

Rekomendacje operacyjne / co zrobić teraz

  1. Natychmiastowa aktualizacja do Connect 12.10 na wszystkich hostach (Windows/macOS). Zweryfikuj zgodność w środowiskach testowych, ale nie odkładaj wdrożenia w produkcji.
  2. Twarde EDR/AV i polityki przeglądarek na stacjach prowadzących webinary (sandboxing, blokada niechcianych rozszerzeń, CSP gdzie to możliwe po stronie serwera).
  3. Higiena linków w zaproszeniach: generuj linki do spotkań wyłącznie z oficjalnych domen; skanuj treści opisów/webinarów pod kątem wstrzyknięć HTML/JS (reguły WAF).
  4. Monitorowanie anomalii:
    • Reguły SIEM/UEBA pod kliknięcia w nieoczekiwane linki przekierowujące (HTTP 3xx do domen spoza allowlisty).
    • Alarmy na zmianę ról w pokojach, nietypowe pobrania nagrań, masowe zaproszenia.
  5. Szkolenia dla prowadzących: znakowanie zewnętrznych prelegentów, weryfikacja materiałów, unikanie osadzania niezweryfikowanych skryptów/iframe.
  6. Przegląd innych biuletynów Adobe z tego cyklu (np. Illustrator) i zaplanowanie zbiorczego okna serwisowego — w październiku lista luk przekracza 35 pozycji.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

W poprzednich miesiącach najgłośniejsze poprawki Adobe dotyczyły m.in. ColdFusion i Commerce/Magento (RCE, obejścia zabezpieczeń). Obecna runda przesuwa uwagę na warstwę kolaboracji (Connect), gdzie typowym ryzykiem są ataki webowe (XSS/redirect), a nie serwerowe luki w interpreterach czy komponentach backendowych. To wymaga innego zestawu kontroli – więcej CSP/WAF, przeglądarkowej telemetrii i higieny linków – zamiast samych hardeningów aplikacyjnych.

Podsumowanie / kluczowe wnioski

  • Zaktualizuj do Connect 12.10 – to jedyny skuteczny sposób eliminacji CVE-2025-49553 i powiązanych luk.
  • Traktuj Connect jak krytyczną aplikację webową: CSP, WAF, monitorowanie przekierowań i tokenów.
  • W tym samym cyklu Adobe łata >35 luk w innych produktach – zaplanuj zbiorczy maintenance window zamiast ad-hoc instalacji.

Źródła / bibliografia

  • Adobe Security Bulletin – APSB25-70: Security update available for Adobe Connect (CVE-2025-49552, CVE-2025-49553, CVE-2025-54196; wersje i CVSS). Adobe Help Centre
  • SecurityWeek: Adobe Patches Critical Vulnerability in Connect Collaboration Suite (przegląd, skala poprawek >35 luk, kontekst). SecurityWeek
  • Adobe – APSB25-102: Security Updates Available for Adobe Illustrator (przykład innych produktów załatanych w tym cyklu). Adobe Help Centre
  • Qualys Blog – Patch Tuesday (październik 2025) (kontekst zbiorczy aktualizacji tego miesiąca). Qualys
  • The Cyber Express – Adobe Security Update (zestawienie CVE dla Connect; źródło wtórne). The Cyber Express

F5 obwinia „aktorów państwowych” o kradzież kodu źródłowego i danych o podatnościach BIG-IP

Wprowadzenie do problemu / definicja incydentu

15 października 2025 r. F5 ujawniło w raporcie Form 8-K oraz komunikacie do klientów, że wysoce zaawansowany, prawdopodobnie sponsorowany przez państwo napastnik utrzymywał długotrwały dostęp do wybranych systemów firmy, m.in. do środowiska rozwoju BIG-IP i platform wiedzy inżynierskiej. Z systemów tych wyeksfiltrowano pliki zawierające fragmenty kodu źródłowego BIG-IP oraz informacje o niewydanych jeszcze podatnościach (niepublicznych). F5 twierdzi, że nie ma dowodów na modyfikację łańcucha dostaw (pipeline’y build/release), ani na dostęp do środowisk NGINX, Distributed Cloud czy Silverline.

O sprawie jako pierwsze szeroko doniosły branżowe media, wskazując także, że profil ataku może wskazywać na Chiny.

W skrócie

  • Kiedy wykryto: 9 sierpnia 2025 r.; ujawnienie odroczono za zgodą DOJ (Item 1.05(c) 8-K).
  • Co ukradziono: pliki z częściami kodu BIG-IP i informacjami o niewydanych podatnościach; częściowo także konfiguracje/implementacje niewielkiego odsetka klientów.
  • Czego nie stwierdzono: brak dowodów na modyfikację supply chain, brak dostępu do CRM/finansów/iHealth/wsparcia; brak oznak aktywnego wykorzystywania „nieujawnionych krytycznych/ RCE” podatności F5.
  • Aktualizacje/łagodzenie: opublikowano zbiorcze biuletyny/aktualizacje październikowe dla BIG-IP, F5OS, BIG-IP Next, BIG-IQ i APM; F5 zaleca natychmiastowe wdrożenie.
  • Potwierdzenia zewnętrzne: media i niezależne serwisy powtórzyły główne tezy; NCSC wydało krótką notę z zaleceniem pilnych aktualizacji.

Kontekst / historia / powiązania

Urządzenia i oprogramowanie F5 BIG-IP od lat znajdują się w centrum uwagi APT i cyberprzestępców (m.in. fale exploitacji CVE-2020-5902, CVE-2022-1388 czy pary CVE-2023-46747/-46748). Trwałe utrzymanie się napastników w środowiskach wykorzystujących BIG-IP bywało wcześniej wiązane z chińsko-języcznymi grupami (np. kampania „Velvet Ant” z wykorzystaniem starszych urządzeń F5 dla utrzymania persystencji). Dzisiejszy incydent wpisuje się w ten trend polowania na źródła i wiedzę o 0-day u producentów.

Analiza techniczna / szczegóły luki

Z udostępnionego klientom oświadczenia (Exhibit 99.1 do 8-K) wynika, że:

  • Atakujący posiadali długoterminową persystencję w sieci F5, obejmującą repozytoria kodu i systemy KM.
  • Eksfiltracja objęła m.in. fragmenty kodu BIG-IP oraz opisy/artefakty podatności będących „w toku” (nieopublikowanych).
  • F5 nie zidentyfikowało dowodów na naruszenie łańcucha dostaw (źródła, build’y, pipeline’y), co potwierdziły niezależne audyty NCC Group i IOActive.
  • Brak dowodów na dostęp do NGINX oraz usług chmurowych F5, co ogranicza bezpośredni wektor supply-chain dla tych linii.

Choć firma podkreśla brak wiedzy o krytycznych/RCE nieujawnionych błędach, sama kradzież wiedzy o lukach zwiększa prawdopodobieństwo samodzielnego opracowania exploitów przez APT przed publikacją biuletynów („pre-disclosure weaponization”). To klasyczny wyścig z czasem: jeżeli opis podatności/patch różnicowy trafił do przeciwnika, okno narażenia dla klientów może się skrócić do tygodni lub dni.

Praktyczne konsekwencje / ryzyko

  • Ryzyko exploitów „day-(-1)” – użycie informacji o nieopublikowanych lukach F5 do cichych, ukierunkowanych wejść (szczególnie tam, gdzie konfiguracja BIG-IP bywa złożona i historycznie zaniedbana).
  • Rozpoznanie środowisk klientów – wyciek konfiguracji/implementacji części organizacji ułatwia lateral movement i selektywne omijanie WAF/ASM/AFM/APM.
  • Reputacyjne i regulacyjne – formalne ujawnienie w 8-K oznacza „material event” z potencjalnym wpływem na decyzje użytkowników i rynków; samo F5 ocenia na dziś brak istotnego wpływu operacyjnego.
  • Fala skanowania i prób dostępu – po medialnym nagłośnieniu zwykle rośnie aktywność botnetów i „copy-cats”.

Rekomendacje operacyjne / co zrobić teraz

  1. Natychmiastowe aktualizacje: wdrożyć październikowe wydania dla BIG-IP/F5OS/BIG-IP Next/BIG-IQ/APM zgodnie z biuletynem F5. Zaplanuj rolling upgrade i weryfikację po-update’ową.
  2. Threat hunting pod kątem F5:
    • Przejrzeć logi TMOS/ASM/APM oraz syslog z event streaming do SIEM (zgodnie z KB F5 – wzorce: logowania admin, nieudane auth, zmiany uprawnień/konfiguracji).
    • Użyć zaleceń F5 dot. twardnienia (hardening checks w iHealth) i porównać z własnymi benchmarkami.
  3. Segmentacja i kontrola dostępu: odseparować interfejsy zarządcze BIG-IP (Mgmt/SSH/TMU) od sieci produkcyjnych, wymusić MFA i listy dozwolonych.
  4. Repozytoria i tajemnice: skontrolować własne integracje CI/CD z BIG-IP (np. AS3/DO/FAST). Zmienić poświadczenia, tokeny API, klucze iControl REST.
  5. Atesty konfiguracji klientów: jeśli korzystasz z partnerów/Integratorów, zażądaj potwierdzenia, że nie używali artefaktów/fragmentów konfigów podatnych na wyciek.
  6. Monitoring exploitów: śledzić biuletyny CISA KEV i krajowe CERT-y; NCSC rekomenduje pilne wdrożenie poprawek F5.
  7. Plan awaryjny: przygotować playbook „virtual patching” na F5 (np. tymczasowe iRules/policy WAF) w razie pojawienia się PoC przed pełnym patchem.

Różnice / porównania z innymi przypadkami

  • SolarWinds/3CX – głęboka manipulacja supply chain; tutaj F5 i niezależne audyty raportują brak modyfikacji pipeline’ów i artefaktów wydań, co zmniejsza ryzyko „zatrutych” aktualizacji.
  • Wycieki „knowledge-base” u dostawców (np. przypadki wiązane z MAPP/SharePoint) – wspólny motyw to pozyskanie wiedzy o 0-day przed publikacją, a niekoniecznie natychmiastowe uderzenie supply-chain. W doniesieniach prasowych o incydencie F5 przewija się hipoteza o aktorze z Chin, spójna z wcześniejszymi kampaniami przeciw producentom infrastruktury.

Podsumowanie / kluczowe wnioski

  • Incydent nie wygląda na kompromitację łańcucha dostaw, ale na wyciek kodu i „researchu” o lukach – co nadal jest poważnym zagrożeniem.
  • Czas działa na korzyść obrońców tylko wtedy, gdy szybko wdrożą aktualizacje i wymuszą twardnienie/monitoring zgodnie z zaleceniami F5.
  • Organizacje z krytycznymi wdrożeniami BIG-IP powinny traktować najbliższe tygodnie jako okres podwyższonego czuwania i aktywnie polować na anomalie.

Źródła / bibliografia

  1. F5 – Security Incident: Disclosure Statement (Exhibit 99.1 do 8-K, 15.10.2025) – szczegóły o eksfiltracji, produktach i zaleceniach. (SEC)
  2. SEC EDGAR – F5, Inc. Form 8-K (15.10.2025) – formalne zgłoszenie incydentu (Item 1.05). (SEC)
  3. SecurityWeek (15.10.2025) – przegląd incydentu i wskazanie na profil ataku sugerujący Chiny. (SecurityWeek)
  4. BleepingComputer (15.10.2025) – streszczenie zakresu eksfiltracji i harmonogramu wykrycia. (BleepingComputer)
  5. NCSC (UK) – nota potwierdzająca kompromitację i zalecająca wdrożenie aktualizacji. (NCSC)

CISA: nowy alert ICS – podatności w module Rockwell Automation 1715 EtherNet/IP Comms (ICSA-25-287-01)

Wprowadzenie do problemu / definicja luki

14 października 2025 r. CISA poinformowała o jednym nowym doradztwie ICS – ICSA-25-287-01 – dotyczącym Rockwell Automation 1715 EtherNet/IP Communications Module (seria 1715-AENTR). Jest to komponent stosowany w redundancji I/O w środowiskach OT/ICS. Doradztwo opisuje problem(y) bezpieczeństwa prowadzące do odmowy usługi (DoS) i utraty komunikacji CIP, co może wpływać na dostępność sterowania procesowego.

W skrócie

  • Kogo dotyczy: użytkownicy modułu Allen-Bradley 1715 EtherNet/IP (1715-AENTR) w systemach redundantnych I/O.
  • Co jest nie tak: podatności umożliwiające DoS – m.in. poprzez specyficzne komunikaty/pakiety CIP powodujące utratę komunikacji z modułem. (Szczegóły w doradztwie CISA).
  • Skutek: zatrzymanie lub degradacja wymiany danych I/O, możliwa utrata dostępności funkcji sterowania.
  • Co zrobić: zastosować aktualizacje/zalecenia producenta, segmentację i filtrowanie ruchu, twardą kontrolę dostępu do sieci OT.

Kontekst / historia / powiązania

CISA regularnie publikuje zbiory doradztw ICS – 14.10.2025 r. ogłoszono właśnie pojedyncze doradztwo skupione na linii 1715. W poprzednich tygodniach agencja publikowała większe paczki doradztw (np. 30.09 i 09.09), co podkreśla utrzymujące się ryzyka w ekosystemie Rockwell/ABB i innych dostawców OT. Najnowszy alert jest kontynuacją tej serii i wskazuje, że wektor DoS w komponentach komunikacyjnych EtherNet/IP pozostaje istotny.

Analiza techniczna / szczegóły luki

Doradztwo ICSA-25-287-01 opisuje problem(y) prowadzące do DoS w module 1715. Z informacji CISA wynika, że komunikacja CIP z przygotowanymi (crafted) ładunkami może doprowadzić do utraty komunikacji z modułem, co skutkuje niedostępnością usługi po stronie urządzenia. (Wskazane są scenariusze, w których specyficzne sekwencje/częstotliwość żądań wywołują błąd i reset/utratę łączności). Szczegółowe atrybuty – w tym zakres wersji i wektory – opisuje karta doradztwa CISA.

Uwaga redakcyjna: CISA niekiedy przypisuje też numery CVE w późniejszych aktualizacjach kart ICSA. Jeśli Twoje procesy GRC wymagają CVE, sprawdź kartę doradztwa producenta i indeksy advisory Rockwell (Trust Center), które są uzupełniane po walidacji.

Praktyczne konsekwencje / ryzyko

  • Dostępność procesu: DoS na łączności CIP może czasowo pozbawić sterownik aktualnych danych I/O z szafy 1715, wpływając na logikę sterowania, redundancję i reakcję na stany awaryjne.
  • Skutki operacyjne: możliwe przejście do stanów bezpiecznych przez moduły I/O, opóźnienia sterowania, a w skrajnych przypadkach przestoje instalacji (w zależności od konfiguracji SIS/HA i watchdogów).
  • Łańcuch dostaw: linia 1715 jest powszechnie wykorzystywana w przemyśle (proces, chemia, nafta-gaz, energetyka). Zakłócenia mogą mieć wpływ na KPI OT (OEE, dostępność, MTBF).

Rekomendacje operacyjne / co zrobić teraz

  1. Zweryfikuj ekspozycję
    • Zidentyfikuj wszystkie 1715-AENTR i sprawdź ich wersje firmware/konfigurację sieci. Zachowaj inwentarz w CMDB/asset inventory OT.
  2. Zastosuj poprawki i zalecenia producenta
    • Monitoruj Trust Center / Security Advisories Rockwell i wdrażaj publikowane aktualizacje/mitigacje (w tym firmware, jeśli dostępny). Testuj w środowisku QA/HIL przed produkcją.
  3. Ogranicz powierzchnię ataku w sieci OT
    • Segmentacja (ISA/IEC-62443 z poziomami/zonami), deny-by-default między IT-OT, filtrowanie CIP/EtherNet/IP tylko do zaufanych hostów, brak routingu do Internetu.
    • Zastosuj listy ACL na przełącznikach/industrial firewalls oraz rate-limiting ruchu do modułów 1715. (Dobrą praktyką jest również odseparowanie serwera WWW modułu, jeśli nie jest wymagany operacyjnie). [praktyki ogólne na podstawie zaleceń producenta/CISA]
  4. Monitoring i detekcja
    • Ustaw reguły w IDS/IPS OT na anomalie CIP, monitoruj reset/timeout połączeń, logi urządzeń i zliczanie błędów I/O. Koreluj w SIEM (runbooks SOC/IOC pod DoS CIP).
  5. Plany ciągłości działania
    • Przejrzyj procedury failover i stany bezpieczne. Zweryfikuj, czy zachowania w przypadku utraty I/O są zgodne z HAZOP i analizą ryzyka procesu. (W razie niezgodności – aktualizacja logiki i test FAT/SAT).

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

W przeszłości CISA i Rockwell publikowali liczne doradztwa dot. EtherNet/IP i komponentów komunikacyjnych (np. ControlLogix Ethernet Modules). Dzisiejsze doradztwo koncentruje się jednak na modułach redundancji I/O 1715, które pełnią inną rolę niż moduły sieciowe ControlLogix – ich degradacja wpływa przede wszystkim na dostępność ścieżki I/O w architekturach wysokiej dostępności, zamiast – lub oprócz – typowych implikacji dla ruchu routowalnego w całej szynie.

Podsumowanie / kluczowe wnioski

  • CISA (14.10.2025): Jeden nowy ICS Advisory ICSA-25-287-01 dla Rockwell 1715 EtherNet/IP Comms – głównie ryzyko DoS/utrata komunikacji CIP.
  • Priorytet: inwentaryzacja 1715-AENTR, aktualizacje/mitigacje producenta, segmentacja i kontrola ruchu CIP, monitoring anomalii.
  • Cel: utrzymanie dostępności sterowania i ograniczenie skutków potencjalnego DoS w środowiskach o wysokiej krytyczności.

Źródła / bibliografia

  • CISA – CISA Releases One Industrial Control Systems Advisory (14 października 2025). (CISA)
  • CISA – ICSA-25-287-01: Rockwell Automation 1715 EtherNet/IP Comms Module (karta doradztwa). (CISA)
  • Rockwell Automation – Security Advisories (Trust Center) – wytyczne producenta dot. podatności i aktualizacji. (Rockwell Automation)
  • Rockwell Automation – 1715-AENTR (EtherNet/IP Communications Adaptor Module) – dokumentacja produktu. (Rockwell Automation)
  • CISA – Zestawienia doradztw ICS (wrzesień 2025) – kontekst publikacji. (CISA)

Kompletny Przewodnik Po Promptach AI – Ponad 100 Gotowych Rozwiązań

Fundamenty efektywnego promptowania

Prompty AI to nic innego jak instrukcje lub pytania, które zadajemy modelom sztucznej inteligencji (np. ChatGPT), aby uzyskać od nich użyteczną odpowiedź. Odpowiednio sformułowane prompty potrafią znacznie usprawnić pracę specjalistów ds. bezpieczeństwa informacji – od analizy zagrożeń, przez automatyzację żmudnych zadań, po cele edukacyjne. Nic dziwnego, że w ostatnim czasie ChatGPT stał się gorącym tematem w IT – znajduje coraz szersze zastosowanie, także w cybersecurity.

Czytaj dalej „Kompletny Przewodnik Po Promptach AI – Ponad 100 Gotowych Rozwiązań”

GVM (Greenbone Vulnerability Management) – Kompletny Przewodnik

Czym jest GVM? Słyszałeś o OpenVas?

Greenbone Vulnerability Management (GVM) to otwartoźródłowy pakiet narzędzi do skanowania i zarządzania podatnościami w sieciach komputerowych. Projekt ten narodził się jako OpenVAS (Open Vulnerability Assessment System) – pierwotnie sam skaner podatności wywodzący się z otwartej wersji Nessusa. Z czasem firma Greenbone rozbudowała go o dodatkowe komponenty (zarządzanie wynikami, bazę danych, interfejs WWW) i przemianowała cały ekosystem na GVM, począwszy od wersji po OpenVAS 9.

Czytaj dalej „GVM (Greenbone Vulnerability Management) – Kompletny Przewodnik”