Albisteak

Microsoften segurtasuna eguneratzea - 2025eko otsaila

Argitalpen-data: 

Microsoft-ek argitaratu ditu 2025eko otsailaren segurtasun eguneratzeak, non 64 kalteberatasunak konpontzen diren, haien artean 4 dira kritikoak bezala sailkatuta, honako identifikatzaileekin: CVE-2025-21177, CVE-2025-21376, CVE-2025-21381, CVE-2025-21379, 57 garrantzitsuak, 1 moderatua, 2 baxuak eta 78 ez erabatutakoak eragiten dituztenak dira: CBL-Mariner nabigatzailea, Microsoft-ek garatutako Linux banaketa eta Chromium-en oinarritutako Edge nabigatzailea.

Eguneratze honetan, 4 0-eguneko kalteberatasun sartu dira, hauek esplotatzen ari dira: CVE-2025-21194, CVE-2025-21391, eta argitaratuak dira: CVE-2025-21418, CVE-2025-21377.

Kalteberatasunen sailkapena, deskribapenaren arabera, honako hau da:

  • 26 kodea urrunetik exekutatzeko kalteberatasunak.
  • 20 pribilegioen altxatze kalteberatasunak.
  • 9 zerbitzu ukapen kalteberatasunak.
  • 5 suplantazio kalteberatasunak.
  • 2 bypass kalteberatasunak.
  • 1 informazio zabaltze kalteberatasuna.
  • 1 Windows Remote Desktop konfigurazio zerbitzu manipulazio kalteberatasuna.

Bestalde, esplotatzeko aukerarik potentziala duten kalteberatasunak hauek dira: CVE-2025-21376, CVE-2025-21400, CVE-2025-21420, CVE-2025-21358, CVE-2025-21367, CVE-2025-21419, CVE-2025-21184, CVE-2025-21414, CVE-2025-21377.

Kaltetutako baliabideak

Ahultasun hauek honako produktu hauetan dute eragina:

  • Microsoft Dynamics 365 Sales
  • Windows DHCP Client
  • Windows Message Queuing
  • Windows Resilient File System (ReFS) Deduplication Service
  • Windows CoreMessaging
  • Azure Network Watcher
  • Windows Telephony Service
  • Microsoft Surface
  • Microsoft High Performance Compute Pack (HPC) Linux Node Agent
  • Windows Telephony Server
  • Visual Studio
  • Windows Routing and Remote Access Service (RRAS)
  • Windows Internet Connection Sharing (ICS)
  • Microsoft Edge for iOS and Android
  • Outlook for Android
  • Microsoft Edge (Chromium-based)
  • Microsoft PC Manager
  • Microsoft Windows
  • Windows Update Stack
  • Windows Remote Desktop Services
  • Windows Kerberos
  • Active Directory Domain Services
  • Windows Kernel
  • Windows Win32 Kernel Subsystem
  • Microsoft Digest Authentication
  • Windows Installer
  • Microsoft Streaming Service
  • Windows LDAP - Lightweight Directory Access Protocol
  • Windows NTLM
  • Windows DHCP Server
  • Microsoft Office Excel
  • Windows Storage
  • Microsoft Office
  • Microsoft Office SharePoint
  • Windows DWM Core Library
  • Windows Ancillary Function Driver for WinSock
  • Windows Setup Files Cleanup
  • Windows Disk Cleanup Tool
  • Microsoft AutoUpdate (MAU)
  • Visual Studio Code

Azterketa teknikoa

Detektatutako 0-day kalteberatasunen xehetasunak hauek dira:

  • CVE-2025-21418 : Windows-en WinSock funtzioen laguntzaile kontrolatzailean pribilegioen goraketa kalteberatasuna
  • CWE-122 : Heap-en oinarritutako buffer gainkargatzea
  • CVSS: 7.8
  • Vector CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C
  • Esplotaketa: Detektatua
  • CVE-2025-21391 : Windows Storage-en pribilegioen goraketa kalteberatasuna
  • CWE-59 : Fitxategietara sartzea baino lehen estekuen ebazpen okerra ('estekuen jarraipena')
  • CVSS: 7.1
  • Vector CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
  • Esplotaketa: Detektatua
  • CVE-2025-21194 : Microsoft Surface-en segurtasun funtzioaren bazterkeratze kalteberatasuna
  • CWE-20 : Sarreraren balioztapen okerra
  • CVSS: 7.1
  • Vector CVSS: CVSS:3.1/AV:A/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
  • Esplotaketa: Detektatua
  • CVE-2025-21377 : NTLM hash-a argitaratze kalteberatasuna spoofing bidez
  • CWE-73 : Fitxategi edo bide izenaren kanpoko kontrola
  • CVSS: 6.5
  • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
  • Esplotaketa: Detektatua

Kritikoak diren kalteberatasunen xehetasunak hauek dira:

  • CVE-2025-21177: Microsoft Dynamics 365 Sales-en pribilegioen goraketa kalteberatasuna
  • CWE-918: Zerbitzari aldeko eskaera faltsua (SSRF)
  • CVSS: 8.7
  • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
  • Esplotaketa: Ez detektatuta
  • CVE-2025-21376: Windows Lightweight Directory Access Protocol (LDAP)-en urrunetik kodea exekutatzeko kalteberatasuna
  • CWE-362: Baliabide partekatu baten erabilera konkurrentearekin sinkronizazio egokia gabe ('Race Condition')
  • CWE-191: Zenbakiaren azpigaitu (biribildua)
  • CWE-122: Heap-en oinarritutako buffer gainkargatzea
  • CVSS: 8.1
  • Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Esplotaketa: Ez detektatuta
  • CVE-2025-21381: Microsoft Excel-en urrunetik kodea exekutatzeko kalteberatasuna
  • CWE-822: Ez fidagarriak diren erreferentzia-punteroen desreferentzia
  • CVSS: 7.8
  • Vector CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
  • Esplotaketa: Ez detektatuta
  • CVE-2025-21379: DHCP bezero zerbitzuan urrunetik kodea exekutatzeko kalteberatasuna
  • CWE-416: Askatu ondoren erabilera
  • CVSS: 7.1
  • Vector CVSS: CVSS:3.1/AV:A/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
  • Esplotaketa: Ez detektatuta

Aringarriak / Konponbidea

Ahultasun hauen eta beste batzuen aurrean babesteko, gomendagarria da sistemak eta aplikazioak beti azken bertsiora eguneratuta edukitzea, dagokion patch-a argitaratzen den unetik bertatik.

Erreferentzia osagarriak