Biuletyn Threat Intelligence Nr 22: październikowe aktualizacje

Podsumowanie

Październikowy Patch Tuesday ponownie ustanowił rekord, obejmując ponad 1 400 podatności w produktach Microsoftu. Najpilniejsze zagrożenia tego miesiąca nie wynikają jednak z samej liczby CVE. Aktywnie wykorzystywane luki w Ivanti Connect Secure i FortiMail dotyczą urządzeń stojących na granicy sieci, których przejęcie może otworzyć dostęp do poświadczeń i infrastruktury wewnętrznej. Biuletyn opisuje również kontekstową podatność Windows wykorzystywaną w kampaniach socjotechnicznych oraz krytyczny błąd w SAP Cloud SDK for Python.

Microsoft: rekordowy PatchTuesday

Październikowy Patch Tuesday ponownie ustanowił rekord. Microsoft opublikował poprawki dla 1 417 własnych podatności —o ponad 400 więcej niż we wrześniu. Wśród nich 76 oceniono jako krytyczne. Siedem z nich dotyczy usług, dla których Microsoft wdrożył poprawki po swojej stronie i nie wymaga działania klientów. Pozostałe obejmują jednak szeroki zakres lokalnych produktów i komponentów. Największe zagrożenia dotyczą przetwarzania dokumentów i wiadomości w Office oraz Outlooku, usług sieciowych Windows, infrastruktury Active Directory, Exchange Server, Remote Desktop Gateway i hostów Hyper-V. Część błędów umożliwia zdalne wykonanie kodu bez uwierzytelnienia albo interakcji użytkownika [1, 2, 3].

Należy podkreślić, że z dziesięciokrotnym wzrostem liczby podatności nie wiąże się taki sam wzrost poziomu ryzyka czy koniecznej pracy. Szanse rzeczywistego wykorzystania tak licznych błędów w krótkim czasie są bardzo niskie, a ostatnie Patch Tuesday ustanawiają raczej nowy standard wykrywania luk. Ze szczególnym ryzykiem wiązać się będzie natomiast dług technologiczny — kwartalne zaległości w aktualizacji będą wnosić do systemów podobną liczbę podatności jak wcześniej lata zaniedbań. Dlatego w praktyce kluczowym staje się sprawne wdrożenie aktualizacji, bez szczególnej analizy każdej z podatności.

Aktywnie wykorzystywana podatność

Październikowe aktualizacje Windows i Office należy wdrożyć w standardowym, możliwie krótkim cyklu. Pierwszeństwo powinny otrzymać systemy dostępne z Internetu, lokalne serwery Exchange i SharePoint, kontrolery domeny, Remote Desktop Gateway, hosty Hyper-V oraz urządzenia korzystające z podatnych usług sieciowych Windows. Aktualizacje stacji roboczych i pakietu Office powinny być dystrybuowane centralnie i egzekwowane po zakończeniu krótkiego wdrożenia testowego.

Zalecane działania

Październikowe aktualizacje Windows i Office należy wdrożyć w standardowym, możliwie krótkim cyklu. Pierwszeństwo powinny otrzymać systemy dostępne z Internetu, lokalne serwery Exchange i SharePoint, kontrolery domeny, Remote Desktop Gateway, hosty Hyper-V oraz urządzenia korzystające z podatnych usług sieciowych Windows. Aktualizacje stacji roboczych i pakietu Office powinny być dystrybuowane centralnie i egzekwowane po zakończeniu krótkiego wdrożenia testowego.

Ciche przedłużenie wsparcia dla Windows 10

Microsoft przedłużył okres wsparcia dla Windows 10 w programie Extended Security Updates (ESU) do 12 października 2027 roku. Zalecamy zweryfikowanie, czy wszystkie komputery pod kontrolą tego systemu są objęte ESU. Komercyjny program jest rozliczany rocznie i przedłużenie może wymagać dodatkowego licencjonowania oraz aktywacji [5].

Ivanti Connect Secure: aktywnie wykorzystywany łańcuch trzech podatności

W urządzeniach VPN Ivanti Connect Secure wykryto aktywnie wykorzystywany łańcuch trzech podatności typu zero-day. Połączenie obejścia uwierzytelniania, zdalnego wykonania kodu i eskalacji uprawnień pozwala wykonywać polecenia z uprawnieniami root [6].

Obejście uwierzytelniania i zdalne wykonanie kodu są wspólnie śledzone jako CVE-2026-104935 (CVSS 8.6). Podatność umożliwiająca podniesienie uprawnień do poziomu root nie została jeszcze załatana, jednak usunięcie dwóch pierwszych elementów przerywa zaobserwowany łańcuch ataku. Producent potwierdził ograniczone wykorzystanie luk w rzeczywistych atakach i zalecił natychmiastową aktualizację podatnych instalacji [6, 7].

Po przejęciu urządzenia zaobserwowano:

• kradzież poświadczeń LDAP, danych Active Directory, haseł LAPS oraz kluczy odzyskiwania BitLocker;
• rozpoznanie sieci i ataki typu password spraying;
• usuwanie wpisów z logów;
• wykonywanie części kodu wyłącznie w pamięci;
• próby przygotowania dostępu umożliwiającego dalsze przemieszczanie się po sieci.

Ze względu na wykonywanie kodu w pamięci i odtwarzanie zmodyfikowanej konfiguracji standardowe narzędzie Ivanti Integrity Checker Tool może nie wykryć skutecznego wykorzystania łańcucha podatności.

Zalecane działania

Instalacje korzystające z wersji 22.8R2.4, wersji 25.1.2 oraz wcześniejszych wydań gałęzi 25.1 należy niezwłocznie zaktualizować do najnowszej wersji wskazanej przez Ivanti. Jako niepodatne producent wymienia wersje 22.8R2.5, 25.1.3.0 oraz 25.1.3.1 [7].

Samo uruchomienie Integrity Checker Tool nie jest wystarczającym potwierdzeniem bezpieczeństwa urządzenia. Należy przeanalizować ruch i logi pod kątem:

• nietypowo dużej liczby żądań do /dana-na/auth/url_default/welcome.cgi;
• rozbieżności pomiędzy ścieżką URL a nagłówkiem X-DSCGI-PATH;
• aktywności wychodzącej z urządzenia do usług katalogowych;
• prób używania konta technicznego urządzenia do odczytywania danych z Active Directory.

W przypadku podejrzenia naruszenia konieczne jest objęcie urządzenia analizą powłamaniową, w tym analizą sieciową i pamięci. Należy również przyjąć, że przechowywane na urządzeniu poświadczenia mogły zostać przejęte [6].

SAP Cloud SDK: podatność CVSS 10.0 umożliwia kradzież poświadczeń OAuth2

SAP ujawnił CVE-2026-89111 (CVSS 10.0), krytyczną podatność SSRF w SAP Cloud SDK for Python. Dotyczy ona wielodostępnych aplikacji działających na SAP Business Technology Platform, które korzystają z pakietu sap-cloud-sdk. Atakujący, który kontroluje tenant_subdomain, może przekierować żądanie pobrania tokenu OAuth2 do własnego serwera i przejąć identyfikator oraz sekret klienta aplikacji. Atak może zostać przeprowadzony zdalnie, bez uwierzytelnienia i bez interakcji użytkownika [8].

Nie każda instalacja SAP jest podatna. Zagrożenie dotyczy aplikacji, które wykorzystują podatną bibliotekę i przekazują do niej identyfikator subdomeny tenanta. Skutki przejęcia poświadczeń zależą od uprawnień przypisanych klientowi OAuth2. Obejmować mogą nieautoryzowany dostęp do usług i danych dostępnych dla aplikacji.

Zalecane działania

Należy zidentyfikować aplikacje korzystające z SAP Cloud SDK for Python oraz sprawdzić rzeczywistą wersję biblioteki w plikach zależności, obrazach kontenerów i działających środowiskach. Podatne wersje są wersje wcześniejsze niż 0.45.2 [8].

Jeżeli natychmiastowa aktualizacja nie jest możliwa, aplikacja powinna akceptować wyłącznie subdomeny znajdujące się na liście znanych, zarejestrowanych tenantów. W środowiskach, w których niezaufana wartość tenant_subdomain mogła zostać przetworzona, należy również przeanalizować wychodzące żądania OAuth2 i rozważyć wymianę poświadczeń klienta.

Krytyczna podatność w Fortinet FortiMail

W październiku Fortinet poinformował o aktywnie wykorzystywanej podatności CVE-2026-104286 (CVSS 9.8) w FortiMail. Umożliwia nieuwierzytelnionemu atakującemu na zapisywanie dowolnych plików w systemie urządzenia przez spreparowane żądania HTTP lub HTTPS. W efekcie może prowadzić to do dalszego wykonania poleceń. Luka znajduje się w komponencie Identity-Based Encryption [9].

Fortinet udostępnił już poprawione wersje 8.0.2, 7.6.7 i 7.4.9. Gałąź 7.2 wymaga migracji do nowszej wersji.

Wnioski

Rosnąca liczba CVE sprawia, że szczegółowa ręczna analiza każdej podatności przestaje być racjonalnym sposobem zarządzania aktualizacjami. Dla stacji roboczych, pakietów biurowych i standardowych komponentów systemowych domyślnym działaniem powinno być automatyczne wdrażanie zbiorczych aktualizacji po krótkim teście stabilności.

Priorytet aktualizacji powinien wynikać przede wszystkim z aktywnego wykorzystania podatności, ekspozycji systemu i możliwych skutków jego przejęcia. CVSS oraz liczba wykrytych luk pozostają użytecznymi informacjami, ale nie zastępują wiedzy o środowisku organizacji.

Opracowanie: Mateusz Rakowski