Microsoft выкатила самый крупный патч за последние годы

Техгигант Microsoft исправляет 161 уязвимость в своих продуктах в очередной вторник исправлений. Среди устраненных недостатков – 3 активно эксплуатируемые уязвимости нулевого дня, 11 имеют являются критическими, 149 – серьезными. По данным Zero Day Initiative, обновление ознаменовано наибольшим количество CVE, устраненным за один месяц с 2017 года.

Что касается уязвимостей, эксплуатируемых злоумышленниками, то это три проблемы в Windows Hyper-V NT Kernel Integration VSP (CVE-2025-21333, CVE-2025-21334 и CVE-2025-21335, оценка CVSS: 7,8). Они могут помочь атакующему получить привилегии SYSTEM.

Как обычно, Microsoft сразу не раскрывает технические подробности недостатков, а также кто их эксплуатирует. Но, учитывая, что это ошибки повышения привилегий, они, скорее всего, используются уже после того, как злоумышленник получил доступ к целевой системе другими способами.

«Поставщик услуг виртуализации (VSP) находится в корневом разделе экземпляра Hyper-V и обеспечивает поддержку синтетических устройств для дочерних разделов через шину виртуальных машин (VMBus): это основа того, как Hyper-V позволяет дочернему разделу обманывать себя, думая, что он настоящий компьютер», - считает ведущий инженер Rapid7 Адам Барнетт. – Учитывая, что все это является границей безопасности, возможно, удивительно, что до сегодняшнего дня Microsoft не признала ни одной уязвимости Hyper-V NT Kernel Integration VSP, но не будет шокирующим, если сейчас их станет больше».

Эксплуатация Windows Hyper-V NT Kernel Integration VSP также привела к тому, что Агентство по кибербезопасности и безопасности инфраструктуры США (CISA) добавило их в свой каталог известных эксплуатируемых уязвимостей (KEV), требуя от федеральных агентств применить исправления к 4 февраля 2025 года.

В исправленном пакете уязвимостей исследователи также отмечают недостатки, которые позволяют выполнять произвольный код:

- CVE-2025-21186, CVE-2025-21366, CVE-2025-21395 (оценка CVSS: 7,8) в Microsoft Access;
- CVE-2025-21275 (оценка CVSS: 7,8) - уязвимость повышения привилегий установщика пакетов приложений Windows;
- CVE-2025-21308 (оценка CVSS: 6,5) - подделка тем Windows.

А также стоит обратить внимание на пять критических уязвимостей, закрытых в патче:

- CVE-2025-21294 (оценка CVSS: 8.1) – дает возможность выполнения произвольного кода в Microsoft Digest Authentication;
- CVE-2025-21295 (оценка CVSS: 8.1) – брешь в механизме безопасности SPNEGO Extended Negotiation (NEGOEX);
- CVE-2025-21298 (оценка CVSS: 9.8) - уязвимость выполнения произвольного кода в Windows Object Linking and Embedding (OLE);
CVE-2025-21307 (оценка CVSS: 9.8) - уязвимость выполнения произвольного кода в Windows Reliable Multicast Transport Driver (RMCAST);
- CVE-2025-21311 (оценка CVSS: 9.8) – позволяет повысить права в Windows NTLM V1.

Источник: https://msrc.microsoft.com/update-guide/releaseNote/2025-Jan

#вторникисправлений #уязвимости