Хакер #315. Positive Hack Days Fest 3
В этом месяце разработчики Microsoft исправили 137 уязвимостей в рамках «вторника обновлений». Ни одна из этих ошибок не использовалась в атаках, однако данные об одной 0-day в Microsoft SQL Server были раскрыты публично до выхода патча.
В общей сложности в июле было устранено 14 критических уязвимостей, десять из которых представляли собой проблемы удаленного выполнения кода, одна была связана с раскрытием информации, и еще две связаны с side-channel атаками на AMD.
Единственная 0-day уязвимость на этот раз была обнаружена в Microsoft SQL Server. Напомним, что Microsoft относит к разряду 0-day те уязвимости, информация о которых была публично раскрыта до выхода патчей, а также проблемы, которые активно эксплуатируются в атаках. И CVE-2025-49719 относится как раз к первому случаю.
CVE-2025-49719 связана с раскрытием информации в Microsoft SQL Server. Проблема позволяла удаленному неаутентифицированному злоумышленнику получить доступ к данным из неинициализированной памяти.
«Некорректная проверка ввода в SQL Server позволяла неавторизованному злоумышленнику раскрывать информацию», — пояснили в Microsoft.
Администраторы могут устранить уязвимость, установив последнюю версию Microsoft SQL Server и Microsoft OLE DB Driver 18 или 19.
Также отметим, что в этом месяце Microsoft исправила ряд критических RCE-багов в Microsoft Office (включая CVE-2025-49695, CVE-2025-49696, CVE-2025-49697 и CVE-2025-49702), которые можно эксплуатировать просто через открытие специально подготовленного документа или через панель предварительного просмотра.
Разработчики подчеркивают, что патчи для этих проблем пока недоступны в Microsoft Office LTSC for Mac 2021 и 2024, и должны выйти в ближайшее время.
Кроме того, Microsoft исправила критическую RCE-уязвимость в Microsoft SharePoint (CVE-2025-49704), которая могла использоваться через интернет просто при наличии учетной записи на платформе.
Наивысшую оценку по шкале CVSS в этом месяце (9,8 балла) получил другой критический баг — CVE-2025-47981. Эта ошибка нарушает протоколы безопасности Microsoft Simple and Protected GSS-API Negotiation Mechanism (SPNEGO) с помощью переполнения буфера хипа, что позволяет удаленно выполнять код.
Как сообщили представители Positive Technologies, одну из исправленных в июле уязвимостей помог устранить специалист компании Марат Гаянов. Проблема CVE-2025-49686 получила 7,8 балла по шкале CVSS.
Баг в компонентах файловой системы NTFS позволял атакующему обойти защитные механизмы Windows. Потенциальной жертве было бы достаточно открыть специально подготовленный злоумышленником виртуальный диск, чтобы у того появилась возможность эксплуатировать уязвимость и получить полный контроль над системой.
«Чтобы воспользоваться CVE-2025-49686, злоумышленнику не потребовалось бы повышать привилегии в системе или получать специальные права доступа. Достаточно было бы обманом убедить пользователя запустить вредоносную программу, которая эксплуатирует уязвимость в драйвере, обеспечивающем связь между устройствами в сети. Так как из-за ошибки обращение осуществлялось по некорректному указателю, оно могло бы привести к аварийному завершению работы программы и, как следствие, к сбою системы. В результате доступ к корпоративным ресурсам был бы ограничен, что потенциально могло нарушить работу организации», — объяснил Гаянов.
