Poważna luka w logowaniu e-podpisem. Dotknięte sądy, ZUS i e-Zdrowie

Badacz bezpieczeństwa ujawnił krytyczną podatność w mechanizmie logowania podpisem kwalifikowanym w szeregu polskich systemów administracji publicznej. Luka umożliwia osobie posiadającej fizyczny klucz USB całkowite ominięcie uwierzytelnienia i przejęcie kontroli nad kontem dowolnego użytkownika. Incydent dotyczy między innymi Portalu Rejestrów Sądowych, e-Sądu, systemów ZUS oraz e-Zdrowia. Administratorzy powinni niezwłocznie zastosować poprawki opublikowane przez producentów.

Czym jest podatność i jak działa

Odkryta przez badacza w serii „Badanie e-podpisów” loka polega na wadliwej weryfikacji podpisu kwalifikowanego po stronie serwera. Logowanie podpisem kwalifikowanym standardowo wymaga, aby plik XML z oświadczeniem o chęci zalogowania został podpisany certyfikatem związanym z daną osobą, a następnie aby serwer zweryfikował poprawność tego podpisu zgodnie ze standardem XAdES.

Badacz wykazał, że możliwe jest stworzenie „wytrycha” – urządzenia (np. YubiKey), które przechowuje prawdziwy certyfikat kwalifikowany ofiary, ale składa podpis przy użyciu losowego klucza prywatnego. Taki podpis jest technicznie błędny, lecz niektóre serwisy nie przeprowadzały pełnej walidacji kryptograficznej. „Gdyby udało się pójść taką ścieżką, moglibyśmy takiej karty spróbować użyć niemal wszędzie” – komentuje autor badania.

Eksperyment potwierdził, że atak zadziałał w przypadku kilku kluczowych instytucji. Badacz był w stanie zalogować się na konto dowolnego użytkownika, znając jedynie jego certyfikat (który jest publicznie dostępny w Rejestrze Certyfikatów).

Które systemy są zagrożone

Badacz opisał, że podatność umożliwiła mu włamanie do:

• wszystkich serwisów obsługujących logowanie przez Moduł Tożsamość Ministerstwa Sprawiedliwości, w tym Portalu Rejestrów Sądowych i e-Sądu w Lublinie;
• e-Serwisu Urzędu Dozoru Technicznego (eudt.gov.pl);
• usług elektronicznych Publicznych Służb Zatrudnienia (praca.gov.pl);
• portalu e-dokumenty Centrum Informatycznych Usług Wspólnych w Olsztynie.

W osobnej części cyklu (źródło #6) badacz ujawnił, że analogiczna podatność dotyczy również systemów ZUS i e-Zdrowia (CVE-2026-9058). Oznacza to, że skala problemu jest bardzo szeroka i obejmuje kluczowe usługi publiczne dla obywateli i firm.

Co mogą zrobić administratorzy i użytkownicy

Podatność została zgłoszona do właściwych instytucji, a producenci oprogramowania powinni opublikować poprawki. Administratorzy systemów wykorzystujących logowanie podpisem kwalifikowanym powinni:

• niezwłocznie zastosować aktualizacje dostarczone przez dostawcę modułu uwierzytelniania;
• zweryfikować logi z okresu od ujawnienia luki w poszukiwaniu nietypowych sesji logowania;
• wzmocnić monitorowanie pod kątem prób logowania z nieznanych adresów IP lub przy użyciu niestandardowych certyfikatów.

Dla zwykłych użytkowników ryzyko bezpośredniego ataku jest obecnie niskie, o ile instytucje szybko wdrożą łatki. Jednak warto zachować czujność – w przypadku podejrzanej aktywności na koncie (np. nieautoryzowane zmiany danych) należy niezwłocznie skontaktować się z odpowiednim urzędem.

Wnioski i dalsze kroki

Incydent pokazuje, że nawet zaawansowane technicznie mechanizmy uwierzytelniania mogą zawierać fundamentalne błędy implementacyjne. W tym przypadku problem leży po stronie weryfikacji podpisu po stronie serwera. Administratorzy powinni śledzić komunikaty CERT Polska oraz biuletyny bezpieczeństwa producentów oprogramowania wykorzystywanego w administracji.

Badacz zapowiedział publikację kolejnych szczegółów w nadchodzących tygodniach. Na razie najważniejsze jest zastosowanie poprawek i sprawdzenie, czy systemy nie zostały już skompromitowane. Pełna lista podatnych wersji oraz dostępnych łatek znajduje się w raporcie autora.