- Регистрация
- 27 Февраль 2018
- Сообщения
- 11 983
- Лучшие ответы
- 0
- Баллы
- 1 293
Offline
Январские патчи Microsoft исправили более 160 различных уязвимостей. По данным специалистов Trend Micro Zero Day Initiative (ZDI), этот «вторник обновлений» стал рекордным с 2017 года по количеству CVE, устраненных за один месяц. Кроме того, на этот раз число патчей более чем в два раза превысило обычное для января количество.
Среди исправленных в этом месяце проблем числятся сразу восемь уязвимостей нулевого дня, три из которых уже активно используются в атаках.
Все находящиеся под атаками 0-day (CVE-2025-21333, CVE-2025-21334, CVE-2025-21335; 7,8 балла по шкале CVSS) представляют собой проблемы повышения привилегий в Windows Hyper-V NT Kernel Integration Virtualization Service Provider (VSP) и относятся к типам use-after-free и переполнения буфера хипа. Все три проблемы затрагивают Windows 10 и 11, а также Windows Server 2022 и 2025.
Сообщается, что эти уязвимости уже применялись в реальных атаках для получения привилегий уровня SYSTEM на устройствах под управлением Windows. Однако никакой информации о том, как именно и кем использовались эти проблемы, пока нет, к тому же обо всех трех багах сообщили анонимные исследователи.
Остальные пять уязвимостей нулевого дня получили такую классификацию, поскольку были раскрыты еще до выхода исправлений.
CVE-2025-21275 — уязвимость повышения привилегий в Windows App Package Installer. Баг мог привести к получению привилегий уровня SYSTEM, и тоже был раскрыт анонимно.
CVE-2025-21308 — проблема спуфинга в Windows Themes которую можно было эксплуатировать через отображение специально подготовленного файла темы в Windows Explorer.
«Злоумышленник должен убедить пользователя загрузить вредоносный файл в уязвимую систему (как правило, с помощью сообщения по электронной почте или в мессенджере), а затем убедить его взаимодействовать с этим специально подготовленным файлом, но не обязательно кликать по нему или открывать его», — поясняют в Microsoft.
По сути, эта проблема представляет собой обход патча для другой уязвимости — CVE-2024-38030. Она связана с тем, что во время просмотра файлов тем через Windows Explorer и использования опций BrandImage и Wallpaper, указывающих путь к сетевому файлу, Windows автоматически отправляет запросы на аутентификацию на удаленный хост, включая учетные данные NTLM авторизованного пользователя.
В Microsoft отмечают, что защититься от этой проблемы можно отключив NTLM или активировав политику «Restrict NTLM: Outgoing NTLM traffic to remote servers».
CVE-2025-21186, CVE-2025-21366, CVE-2025-21395 — удаленное выполнение кода в Microsoft Access. Сразу три схожих RCE-уязвимости проявляются при открытии специально подготовленных документов Microsoft Access.
Microsoft устранила эту проблему, заблокировав доступ к документам Microsoft Access со следующими расширениями, если они были отправлены по электронной почте: accdb, accde, accdw, accdt, accda, accdr и accdu.
Стоит отметить, что эти три бага были обнаружены при помощи ИИ-платформы для выявления уязвимостей Unpatched.ai.
Также следует выделить ряд критических уязвимостей, не являющихся 0-day. Одной из наиболее опасных среди них является ошибка CVE-2025-21311 (9,8 балла по шкале CVSS), связанная с повышением привилегий в системе аутентификации NTMLv1, которая может использоваться удаленно.
Другая одна серьезная RCE-проблема была найдена во фреймворке Windows Object Linking and Embedding (OLE) и получила идентификатор CVE-2025-21298 (9,8 балла по шкале CVSS). Эксплуатация этой уязвимости связана с открытием пользователем специально созданного письма в Outlook. Баг затрагивает Windows 10 и 11, а также все поддерживаемые версии Windows Server.
Еще одна RCE-уязвимость CVE-2025-21307 (тоже 9,8 балла по шкале CVSS), требует, чтобы у жертвы была установлена хотя бы одна программа, активно прослушивающая порт Windows Pragmatic General Multicast (PGM). PGM — это сетевой компонент, позволяющий одновременно рассылать данные нескольким получателям.
«Неаутентифицированный злоумышленник может эксплуатировать уязвимость без какого-либо участия пользователя, отправляя специально сформированные пакеты открытому сокету Windows Pragmatic General Multicast на сервере», — предупреждает Microsoft и добавляет, что это может привести к удаленному выполнению произвольного кода.
Среди исправленных в этом месяце проблем числятся сразу восемь уязвимостей нулевого дня, три из которых уже активно используются в атаках.
Все находящиеся под атаками 0-day (CVE-2025-21333, CVE-2025-21334, CVE-2025-21335; 7,8 балла по шкале CVSS) представляют собой проблемы повышения привилегий в Windows Hyper-V NT Kernel Integration Virtualization Service Provider (VSP) и относятся к типам use-after-free и переполнения буфера хипа. Все три проблемы затрагивают Windows 10 и 11, а также Windows Server 2022 и 2025.
Сообщается, что эти уязвимости уже применялись в реальных атаках для получения привилегий уровня SYSTEM на устройствах под управлением Windows. Однако никакой информации о том, как именно и кем использовались эти проблемы, пока нет, к тому же обо всех трех багах сообщили анонимные исследователи.
Остальные пять уязвимостей нулевого дня получили такую классификацию, поскольку были раскрыты еще до выхода исправлений.
CVE-2025-21275 — уязвимость повышения привилегий в Windows App Package Installer. Баг мог привести к получению привилегий уровня SYSTEM, и тоже был раскрыт анонимно.
CVE-2025-21308 — проблема спуфинга в Windows Themes которую можно было эксплуатировать через отображение специально подготовленного файла темы в Windows Explorer.
«Злоумышленник должен убедить пользователя загрузить вредоносный файл в уязвимую систему (как правило, с помощью сообщения по электронной почте или в мессенджере), а затем убедить его взаимодействовать с этим специально подготовленным файлом, но не обязательно кликать по нему или открывать его», — поясняют в Microsoft.
По сути, эта проблема представляет собой обход патча для другой уязвимости — CVE-2024-38030. Она связана с тем, что во время просмотра файлов тем через Windows Explorer и использования опций BrandImage и Wallpaper, указывающих путь к сетевому файлу, Windows автоматически отправляет запросы на аутентификацию на удаленный хост, включая учетные данные NTLM авторизованного пользователя.
В Microsoft отмечают, что защититься от этой проблемы можно отключив NTLM или активировав политику «Restrict NTLM: Outgoing NTLM traffic to remote servers».
CVE-2025-21186, CVE-2025-21366, CVE-2025-21395 — удаленное выполнение кода в Microsoft Access. Сразу три схожих RCE-уязвимости проявляются при открытии специально подготовленных документов Microsoft Access.
Microsoft устранила эту проблему, заблокировав доступ к документам Microsoft Access со следующими расширениями, если они были отправлены по электронной почте: accdb, accde, accdw, accdt, accda, accdr и accdu.
Стоит отметить, что эти три бага были обнаружены при помощи ИИ-платформы для выявления уязвимостей Unpatched.ai.
Также следует выделить ряд критических уязвимостей, не являющихся 0-day. Одной из наиболее опасных среди них является ошибка CVE-2025-21311 (9,8 балла по шкале CVSS), связанная с повышением привилегий в системе аутентификации NTMLv1, которая может использоваться удаленно.
Другая одна серьезная RCE-проблема была найдена во фреймворке Windows Object Linking and Embedding (OLE) и получила идентификатор CVE-2025-21298 (9,8 балла по шкале CVSS). Эксплуатация этой уязвимости связана с открытием пользователем специально созданного письма в Outlook. Баг затрагивает Windows 10 и 11, а также все поддерживаемые версии Windows Server.
Еще одна RCE-уязвимость CVE-2025-21307 (тоже 9,8 балла по шкале CVSS), требует, чтобы у жертвы была установлена хотя бы одна программа, активно прослушивающая порт Windows Pragmatic General Multicast (PGM). PGM — это сетевой компонент, позволяющий одновременно рассылать данные нескольким получателям.
«Неаутентифицированный злоумышленник может эксплуатировать уязвимость без какого-либо участия пользователя, отправляя специально сформированные пакеты открытому сокету Windows Pragmatic General Multicast на сервере», — предупреждает Microsoft и добавляет, что это может привести к удаленному выполнению произвольного кода.
