Сегодня 31 июля 2025
18+
MWC 2018 2018 Computex IFA 2018
реклама
Новости Software

Microsoft исправила 55 уязвимостей, включая две критические нулевого дня

В рамках февральского пакета обновлений безопасности Patch Tuesday 2025 компания Microsoft выпустила обновления, устраняющие 55 уязвимостей, включая четыре уязвимости нулевого дня, две из которых уже активно эксплуатируются злоумышленниками в реальных атаках.

 Источник изображения: Andras Vas / Unsplash

Источник изображения: Andras Vas / Unsplash

Кроме того, как сообщает BleepingComputer, в обновлении исправлены три критические уязвимости, связанные с удалённым выполнением кода. Помимо перечисленных проблем, обновление включает исправления для широкого спектра ошибок, разделённых по категориям:

  • 19 ошибок, связанных с повышением привилегий
  • 2 ошибки, связанные с обходом функций безопасности
  • 22 ошибки, связанные с удалённым исполнением кода
  • 1 ошибка, связанная с раскрытием информации
  • 9 ошибок, связанных с отказом в обслуживании
  • 3 ошибки, связанные со спуфингом.

Следует отметить, что указанные цифры не включают критическую уязвимость повышения привилегий в Microsoft Dynamics 365 Sales и 10 уязвимостей в Microsoft Edge, которые были устранены отдельным обновлением 6 февраля.

Две активно эксплуатируемые уязвимости нулевого дня, устранённые в этом месяце, представляют собой наибольшую угрозу. Одна из них, CVE-2025-21391, является уязвимостью повышения привилегий в Windows Storage. По словам Microsoft, злоумышленник, использующий эту «дыру», сможет удалять целевые файлы на устройстве, и хотя это не приводит к раскрытию конфиденциальной информации, может привести к недоступности системы.

Второй активно эксплуатируемой уязвимостью является CVE-2025-21418 — повышение привилегий в драйвере Ancillary Function Driver для WinSock. Эта уязвимость позволяла атакующим получить права SYSTEM в Windows. Microsoft не предоставила подробностей о том, как это конкретно использовалось в атаках.

Две другие уязвимости нулевого дня, устранённые в этом выпуске, были раскрыты публично до выхода исправления. CVE-2025-21194 — это ошибка обхода функций безопасности в Microsoft Surface, которая позволяла обойти защиту UEFI и скомпрометировать защищённое ядро. Microsoft заявила, что данная уязвимость связана с виртуальными машинами в UEFI хост-машинах, а сотрудники из французской компании по кибербезопасности Quarkslab также уточнили, что это может быть также связано с серией уязвимостей PixieFail, влияющих на стек сетевых протоколов IPv6.

Последняя спуфинг-уязвимость CVE-2025-21377 позволяла атакующим раскрывать NTLM-хэши пользователей Windows для удалённого входа или атак типа pass-the-hash, которая позволяет хакеру авторизоваться на удалённом сервере, на котором аутентификация осуществляется с использованием протокола LM или NTLM. Microsoft объясняет, что «минимальное взаимодействие пользователя с вредоносным файлом, такое как одиночный клик или клик правой кнопкой мыши, а также выполнение действия, отличного от открытия или выполнения файла, вызывает эту уязвимость».

Источник:

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.
Материалы по теме

window-new
Soft
Hard
Тренды 🔥
THQ Nordic показала 12 минут геймплея Titan Quest 2 и раскрыла, что войдёт в игру на старте раннего доступа 42 мин.
Недоработки в системе защиты данных Spotify раскрыли музыкальный вкус знаменитостей и политиков 2 ч.
«СберТех» представил систему Platform V CopyWala для резервного копирования СУБД на базе PostgreSQL 2 ч.
Google защитит автозаполнение паролей в Chrome на Android биометрией 2 ч.
Исследователь обнаружил крайне опасную уязвимость в Safari — Apple оценила находку всего в $1000 3 ч.
Electronic Arts «созрела» для анонса Plants vs. Zombies: Replanted — трейлер, дата выхода и отличия от классической игры 3 ч.
Путин подписал закон о штрафах за поиск экстремистского контента, передачу аккаунтов и рекламу VPN 3 ч.
Новый трейлер хоррора Cronos: The New Dawn от разработчиков ремейка Silent Hill 2 подтвердил дату выхода игры и релиз на Nintendo Switch 2 3 ч.
Palo Alto Networks купит разработчика ИБ-продуктов CyberArk за $25 млрд 4 ч.
Microsoft назвала по 40 профессий, для которых ИИ представляет наибольшую и наименьшую опасность 5 ч.
Выпущенные в Индии iPhone увернулись от повышеннух пошлин Трампа, пока что 2 мин.
DJI представила 360-градусную экшн-камеру Osmo 360, которая умеет снимать 100-минутные ролики в 8K 29 мин.
G42 готова завершить сделку с Northern Data для получения доступа к ЦОД в Европе 2 ч.
Китайская Fourier показала «самого милого» гуманоидного робота для дома и школы 2 ч.
Складные смартфоны набирают популярность: Galaxy Z Fold7 в полтора раза обогнал Fold6 по предзаказам в США 3 ч.
Microsoft впервые заработала на Game Pass $5 млрд за год — это сгладило рухнувшие на 22 % продажи консолей Xbox 4 ч.
«Компания не будет тратить на это деньги»: SpaceX ответит в суде за пренебрежение безопасностью сотрудников 5 ч.
Выручка Vertiv выросла на 35 % на фоне «беспрецедентного роста ЦОД», но новые тарифы мешают бизнесу 6 ч.
«Продажи HBM от Samsung достигли дна»: SK hynix стала крупнейшим производителем памяти в мире 6 ч.
Google превратила миллиарды Android-смартфонов в глобальную систему раннего предупреждения землетрясений 6 ч.