725471
Среди исправленных есть три уязвимости «нулевого дня» и три ошибки, информация о которых стала доступна до выхода обновлений.
Обновления затронули следующие продукты компании: Microsoft Windows, Windows Components, Microsoft Office, Office Components, Microsoft Edge, Azure, Hyper-V, .NET and Visual Studio, Github, Exchange Server, BitLocker, Xbox и др.
Одна из уязвимостей «нулевого дня» (CVE-2025-47827) затрагивает операционную систему IGEL на базе Linux и связана с неправильной проверкой криптографической подписи. В результате злоумышленник может обойти функцию безопасной загрузки.
Другая уязвимость «нулевого дня» (CVE-2025-24990) содержится в драйвере модема Windows Agere и позволяет злоумышленнику повысить привилегии до уровня администратора в системах, где установлены эти драйверы.
Третья ошибка «нулевого дня» (CVE-2025-59230) затрагивает диспетчер подключений удаленного доступа (Windows Remote Access Connection Manager) и позволяет злоумышленнику выполнить произвольный код с правами администратора и получить полный контроль над целевой системой.
Самый высокий уровень опасности (9.9 по шкале CVSS) в этом месяце присвоен уязвимости CVE-2025-49708 в Windows Graphics Component. Уязвимость связана с использованием данных после освобождения памяти и позволяет авторизованному злоумышленнику получить системные привилегии.
Ещё одна критическая уязвимость (CVE-2025-59287) с рейтингом 9.8 по шкале CVSS затрагивает службу обновления Windows Server Update Service (WSUS) и позволяет удалённому злоумышленнику, не прошедшему процедуру аутентификации, выполнить код с повышенными привилегиями.
Остальные критические уязвимости затрагивают Azure Compute Gallery, Azure Entra ID, Azure PlayFab, Microsoft Excel, Microsoft Office и др. Их эксплуатация может позволить злоумышленнику повысить привилегии, подменить данные, выполнить произвольный код в целевой системе.
Уязвимости высокого уровня опасности позволяют обойти ограничения безопасности, повысить привилегии, раскрыть конфиденциальную информацию, выполнить произвольный код, подменить данные, осуществить атаку типа «отказ в обслуживании» (DDoS-атака).
Национальный координационный центр по компьютерным инцидентам рекомендует устанавливать обновления только после оценки всех сопутствующих рисков.
Интернет-портал «Безопасность пользователей в сети Интернет»
admin@safe-surf.ru
https://safe-surf.ru
