✔Первый «вторник обновлений» 2025 года: Microsoft патчит три 0-day уязвимости в Hyper-V - «Новости»

Январские патчи Microsoft исправили более 160 различных уязвимостей. По данным специалистов Trend Micro Zero Day Initiative (ZDI), этот «вторник обновлений» стал рекордным с 2017 года по количеству CVE, устраненных за один месяц. Кроме того, на этот раз число патчей более чем в два раза превысило обычное для января количество. Среди исправленных в этом месяце проблем числятся сразу восемь уязвимостей нулевого дня, три из которых уже активно используются в атаках. Все находящиеся под атаками 0-day (CVE-2025-21333, CVE-2025-21334, CVE-2025-21335; 7,8 балла по шкале CVSS) представляют собой проблемы повышения привилегий в Windows Hyper-V NT Kernel Integration Virtualization Service Provider (VSP) и относятся к типам use-after-free и переполнения буфера хипа. Все три проблемы затрагивают Windows 10 и 11, а также Windows Server 2022 и 2025. Сообщается, что эти уязвимости уже применялись в реальных атаках для получения привилегий уровня SYSTEM на устройствах под управлением Windows. Однако никакой информации о том, как именно и кем использовались эти проблемы, пока нет, к тому же обо всех трех багах сообщили анонимные исследователи. Остальные пять уязвимостей нулевого дня получили такую классификацию, поскольку были раскрыты еще до выхода исправлений. CVE-2025-21275 — уязвимость повышения привилегий в Windows App Package Installer. Баг мог привести к получению привилегий уровня SYSTEM, и тоже был раскрыт анонимно. CVE-2025-21308 — проблема спуфинга в Windows Themes которую можно было эксплуатировать через отображение специально подготовленного файла темы в Windows Explorer. «Злоумышленник должен убедить пользователя загрузить вредоносный файл в уязвимую систему (как правило, с помощью сообщения по электронной почте или в мессенджере), а затем убедить его взаимодействовать с этим специально подготовленным файлом, но не обязательно кликать по нему или открывать его», — поясняют в Microsoft. По сути, эта проблема представляет собой обход патча для другой уязвимости — CVE-2024-38030. Она связана с тем, что во время просмотра файлов тем через Windows Explorer и использования опций BrandImage и Wallpaper, указывающих путь к сетевому файлу, Windows автоматически отправляет запросы на аутентификацию на удаленный хост, включая учетные данные NTLM авторизованного пользователя. В Microsoft отмечают, что защититься от этой проблемы можно отключив NTLM или активировав политику «Restrict NTLM: Outgoing NTLM traffic to remote servers». CVE-2025-21186, CVE-2025-21366, CVE-2025-21395 — удаленное выполнение кода в Microsoft Access. Сразу три схожих RCE-уязвимости проявляются при открытии специально подготовленных документов Microsoft Access. Microsoft устранила эту проблему, заблокировав доступ к документам Microsoft Access со следующими расширениями, если они были отправлены по электронной почте: accdb, accde, accdw, accdt, accda, accdr и accdu. Стоит отметить, что эти три бага были обнаружены при помощи ИИ-платформы для выявления уязвимостей Unpatched.ai. Также следует выделить ряд критических уязвимостей, не являющихся 0-day. Одной из наиболее опасных среди них является ошибка CVE-2025-21311 (9,8 балла по шкале CVSS), связанная с повышением привилегий в системе аутентификации NTMLv1, которая может использоваться удаленно. Другая одна серьезная RCE-проблема была найдена во фреймворке Windows Object Linking and Embedding (OLE) и получила идентификатор CVE-2025-21298 (9,8 балла по шкале CVSS). Эксплуатация этой уязвимости связана с открытием пользователем специально созданного письма в Outlook. Баг затрагивает Windows 10 и 11, а также все поддерживаемые версии Windows Server. Еще одна RCE-уязвимость CVE-2025-21307 (тоже 9,8 балла по шкале CVSS), требует, чтобы у жертвы была установлена хотя бы одна программа, активно прослушивающая порт Windows Pragmatic General Multicast (PGM). PGM — это сетевой компонент, позволяющий одновременно рассылать данные нескольким получателям. «Неаутентифицированный злоумышленник может эксплуатировать уязвимость без какого-либо участия пользователя, отправляя специально сформированные пакеты открытому сокету Windows Pragmatic General Multicast на сервере», — предупреждает Microsoft и добавляет, что это может привести к удаленному выполнению произвольного кода.