Сегодня 06 мая 2025
18+
MWC 2018 2018 Computex IFA 2018
реклама
Новости Software

Microsoft исправила 55 уязвимостей, включая две критические нулевого дня

В рамках февральского пакета обновлений безопасности Patch Tuesday 2025 компания Microsoft выпустила обновления, устраняющие 55 уязвимостей, включая четыре уязвимости нулевого дня, две из которых уже активно эксплуатируются злоумышленниками в реальных атаках.

 Источник изображения: Andras Vas / Unsplash

Источник изображения: Andras Vas / Unsplash

Кроме того, как сообщает BleepingComputer, в обновлении исправлены три критические уязвимости, связанные с удалённым выполнением кода. Помимо перечисленных проблем, обновление включает исправления для широкого спектра ошибок, разделённых по категориям:

  • 19 ошибок, связанных с повышением привилегий
  • 2 ошибки, связанные с обходом функций безопасности
  • 22 ошибки, связанные с удалённым исполнением кода
  • 1 ошибка, связанная с раскрытием информации
  • 9 ошибок, связанных с отказом в обслуживании
  • 3 ошибки, связанные со спуфингом.

Следует отметить, что указанные цифры не включают критическую уязвимость повышения привилегий в Microsoft Dynamics 365 Sales и 10 уязвимостей в Microsoft Edge, которые были устранены отдельным обновлением 6 февраля.

Две активно эксплуатируемые уязвимости нулевого дня, устранённые в этом месяце, представляют собой наибольшую угрозу. Одна из них, CVE-2025-21391, является уязвимостью повышения привилегий в Windows Storage. По словам Microsoft, злоумышленник, использующий эту «дыру», сможет удалять целевые файлы на устройстве, и хотя это не приводит к раскрытию конфиденциальной информации, может привести к недоступности системы.

Второй активно эксплуатируемой уязвимостью является CVE-2025-21418 — повышение привилегий в драйвере Ancillary Function Driver для WinSock. Эта уязвимость позволяла атакующим получить права SYSTEM в Windows. Microsoft не предоставила подробностей о том, как это конкретно использовалось в атаках.

Две другие уязвимости нулевого дня, устранённые в этом выпуске, были раскрыты публично до выхода исправления. CVE-2025-21194 — это ошибка обхода функций безопасности в Microsoft Surface, которая позволяла обойти защиту UEFI и скомпрометировать защищённое ядро. Microsoft заявила, что данная уязвимость связана с виртуальными машинами в UEFI хост-машинах, а сотрудники из французской компании по кибербезопасности Quarkslab также уточнили, что это может быть также связано с серией уязвимостей PixieFail, влияющих на стек сетевых протоколов IPv6.

Последняя спуфинг-уязвимость CVE-2025-21377 позволяла атакующим раскрывать NTLM-хэши пользователей Windows для удалённого входа или атак типа pass-the-hash, которая позволяет хакеру авторизоваться на удалённом сервере, на котором аутентификация осуществляется с использованием протокола LM или NTLM. Microsoft объясняет, что «минимальное взаимодействие пользователя с вредоносным файлом, такое как одиночный клик или клик правой кнопкой мыши, а также выполнение действия, отличного от открытия или выполнения файла, вызывает эту уязвимость».

Источник:

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.
Материалы по теме

window-new
Soft
Hard
Тренды 🔥
Журналисты показали сражение с многоглазым козлом-шаманом из Elden Ring Nightreign — фанаты заинтригованы 5 ч.
«10 лет Гвинта»: CD Projekt Red пригласила игроков на празднование юбилея The Witcher 3: Wild Hunt 6 ч.
Календарь релизов — 5–11 мая: «Приключения капитана Блада», Hordes of Hunger и The Midnight Walk 7 ч.
Антимонопольный иск против Google может привести к исчезновению Firefox 8 ч.
Рынок DLP-систем взлетел на 40 % после принятия закона о штрафах за утечки персональных данных 8 ч.
Microsoft анонсировала Gears of War: Reloaded, в том числе для PS5 — дата выхода, технические улучшения и бесплатный апгрейд с подвохом 8 ч.
Apple оспорила решение суда, ограничившее её контроль над приложениями для iPhone 8 ч.
«До свидания, Skype»: Microsoft закрыла сервис, который когда-то первым принёс видеосвязь миллионам людей 10 ч.
В этом месяце Трамп заработает миллионы на криптовалюте всего за два вечера 11 ч.
«У нас появился шанс!»: звезда Kingdom Come: Deliverance 2 остался в восторге от переноса GTA VI 11 ч.
Новая статья: ИИтоги апреля 2025 г.: шутки в сторону 4 ч.
ЦОД Испании и Португалии успешно пережили крупнейший «блэкаут» в истории стран, а вот телеком-инфраструктура испытала серьёзные проблемы 5 ч.
Жёсткий диск, который работает даже без работы: Buffalo выпустила внешний HDD с окошком 5 ч.
AOC выпустила 27-дюймовый игровой IPS-монитор Q27G4K с 1440p и 400 Гц 5 ч.
Индонезия намерена построить АЭС на 10 ГВт в рамках масштабного энергетического экопроекта 6 ч.
Google и Broadcom совместно обеспечат кибербезопасность своих решений 8 ч.
США готовят закон об отслеживании ИИ-чипов после продажи, чтобы пресечь их контрабанду в Китай 9 ч.
1 Пбит/с через Атлантику: Meta намерена построить самый быстрый подводный кабель 9 ч.
Unitree представила робопса-пожарного с брандспойтом на месте головы 12 ч.
Профессиональная видеокарта Nvidia RTX Pro 6000 Blackwell Workstation Edition с 96 Гбайт GDDR7 поступила в продажу за €9000 12 ч.