Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2015-5287 |
| Źródło alertu | CISA KEV - Aktywna eksploatacja |
| Rok publikacji CVE | 2015 |
| Data publikacji | 2026-08-26 |
| Producent | Red Hat |
| Produkt | Automatic Bug Reporting Tool (ABRT) |
| CVSS Score | 7.8 (Wysoki) |
| EPSS Score | 3.4% (percentyl: 88%) |
| CISA KEV | Tak - potwierdzona aktywna eksploatacja |
| Ransomware | Nie potwierdzono |
| Termin na reakcję | 2026-09-09 |
Opis podatności
Źródło: CISA KEV / NVD
Program pomocniczy abrt-hook-ccpp w narzędziu Automatic Bug Reporting Tool (ABRT) w wersjach starszych niż 2.7.1 pozwala lokalnym użytkownikom z określonymi uprawnieniami na podniesienie uprawnień przez atak dowiązaniem symbolicznym (symlink) na plik o przewidywalnej nazwie — na przykład /var/tmp/abrt/abrt-hax-coredump lub /var/spool/abrt/abrt-hax-coredump.
Mechanizm jest klasyczny: ABRT tworzy plik zrzutu pod nazwą, którą atakujący potrafi przewidzieć. Podstawiając w tym miejscu dowiązanie do pliku systemowego, atakujący sprawia, że uprzywilejowany proces zapisuje dane tam, gdzie sam nie miałby dostępu.
CISA zaznacza, że produkt może być poza wsparciem (end-of-life / end-of-service) — w takim przypadku zalecane jest zaprzestanie używania go lub przejście na wspieraną wersję.
Wymagane działania
Zastosuj środki zaradcze zgodnie z instrukcjami producenta, zapewniając zgodność z wytycznymi CISA BOD 26-04 („Prioritizing Security Updates Based on Risk”) oraz z wymaganiami CISA dotyczącymi triage’u śledczego („Forensics Triage Requirements”). W przypadku usług chmurowych postępuj zgodnie z odpowiednimi wytycznymi BOD 26-04 albo zaprzestań korzystania z produktu, jeśli środki zaradcze nie są dostępne.
W praktyce: aktualizacja ABRT do wersji 2.7.1 lub nowszej. Na systemach, gdzie ABRT nie jest potrzebny — a na serwerach produkcyjnych zwykle nie jest — rozważ wyłączenie i odinstalowanie pakietu. To trwalsze rozwiązanie niż kolejna poprawka do narzędzia, które nie pełni funkcji biznesowej.
Termin wyznaczony przez CISA dla podmiotów federalnych USA: 2026-09-09.
Kogo dotyczy?
Podatność dotyczy systemów z Red Hat Automatic Bug Reporting Tool (ABRT) w wersji starszej niż 2.7.1 — narzędzie jest instalowane domyślnie w RHEL, CentOS i Fedorze, a także w pochodnych, takich jak Oracle Linux.
To dotyka głównie starszych instalacji RHEL/CentOS, które w polskich firmach nadal obsługują systemy dziedziczone — zwłaszcza CentOS 7, wycofany ze wsparcia, ale wciąż spotykany w produkcji. Ponieważ jest to podatność lokalna, ryzyko rośnie tam, gdzie na serwerze pracują konta wielu użytkowników lub gdzie działają aplikacje pozwalające na wykonanie kodu.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
