В рамках очередного Patch Tuesday компания Microsoft выпустила обновления, исправляющие 81 уязвимость, включая две критических уязвимости нулевого дня. Первая уязвимость, CVE-2024-21907, связана с неправильной обработкой исключительных условий в библиотеке Newtonsoft.Json, используемой SQL Server. Это может привести к отказу в обслуживании при десериализации глубоко вложенных объектов JSON.
Вторая нулевого дня уязвимость, CVE-2025-55234, представляет собой возможность повышения привилегий в Windows SMB и может быть использована удаленно через атаку повторного воспроизведения. Это может позволить злоумышленникам получить дополнительные привилегии и, возможно, выполнить произвольный код. Microsoft отмечает, что усиление безопасности с помощью подписывания SMB Server и расширенной защиты для аутентификации может усложнить проведение атак, но может повлиять на интеграцию с программным обеспечением сторонних производителей. Для оценки совместимости перед включением этих функций компания предоставляет возможности аудита.
Другие уязвимости
Обновления также устраняют другие уязвимости повышения привилегий, которые, по мнению исследователей безопасности, имеют высокие шансы эксплуатации. В их число входят CVE-2025-54110 в ядре Windows, CVE-2025-54093 в драйвере TCP/IP Windows и CVE-2025-54098 в Hyper-V. Эти уязвимости особенно важны, поскольку злоумышленники могут использовать их после первоначального проникновения для отключения защиты и горизонтального продвижения внутри системы.
Общая картина изменений включает устранение 41 уязвимости повышения привилегий и 22 уязвимостей удаленного выполнения кода, из которых две и пять (соответственно) оценены как критические.
