Излязоха януарските обновления по сигурността за Windows

Microsoft публикува първият за 2025 пакет с актуализации по сигурността за Windows. Януарският Patch Tuesday съдържа решения за 161 проблема. Осем от тях са вече атакувани уязвимости или такива, чието съществуване е било публично разкрито наскоро. Общо девет са критичните уязвимости, които могат да доведат до дистанционно изпълнение на произволен код (remote code-execution, RCE) и превземане на системата.

Любопитен е случая с три свързани помежду си RCE уязвимости. CVE-2025-21366, CVE-2025-21395 и CVE-2025-21186 засягат Windows Access. Те могат да се експлоатират, ако жертвата бъде убедена да свали и отвори изпълним файл. Странното в случая се явява това, че във FAQ секцията, придружаваща всеки от бюлетините тук, се описва, че въведеният в случая механизъм пречи на потенциално зловредни разширения да се изпращат по имейл“. Както коментира Адам Барнет от Rapid 7, обновленията по принцип осигуряват защита, блокирайки получаването на зловредни приложени файлове, не изпращането им. Ако пък мишената все пак си взаимодейства с подобен файл, той ще получи известие, че е имало приложен файл, който не може да се достигне.

Опасна уязвимост се явява тук и CVE-2025-21275. Тя засяга Windows Installer и е свързана с възможността за неразрешеното повишаване на привилегиите на потребителя. Успешната експлоатация води до присвояването му на привилегии на ниво SYSTEM.

Впечатление прави също така и CVE-2025-21307. Тя засяга единствено системи, в които има инсталирана програма, „слушаща“ на Pragmatic General Multicast (PGM) порт. Експлоатирането на уязвимостта на изисква действие от страна на потребителя. Това е и причината степента на риска (CvSS) на CVE-2025-21307 да бъде определена на 9.8/10.0.

Сред другите програми и услуги за Windows, които получават актуализация са Windows Kerberos, Sharepoint и Excel, Visual Studio. А така също Windows Digital Media, Sharepoint, Microsoft Office и др.