Patch Tuesday: Microsoft закърпи 137 уязвимости, включително 14 критични и една от типа нулев ден

В рамките на юлския Patch Tuesday Microsoft пусна актуализации на своите продукти, които затварят 137 уязвимости, включително една уязвимост от типа „нулев ден“ в Microsoft SQL Server. Последната е свързана с неправилно валидиране на входни данни и позволява на нападателите да получат достъп до неинициализирана памет на сървъра, като по този начин се осигурява възможност за отдалечено разкриване на информация без удостоверяване.

Сред поправените уязвимости 14 са с критичен статус, като 10 от тях позволяват отдалечено изпълнение на код. Останалите включват изтичане на информация (един бъг) и две уязвимости, свързани с атаки по странични канали (скрити канали за изтичане на информация) на процесори на AMD. Категоризацията е следната: 53 уязвимости са свързани с повишаване на привилегиите, 8 – със заобикаляне на механизмите за сигурност, 41 – с отдалечено изпълнение на код, 18 – с разкриване на информация, 6 – с отказ на услуга и 4 – с подправяне на данни.

Microsoft обърна специално внимание на уязвимостта CVE-2025-49719 в SQL Server, открита от Владимир Алексич. За да я отстранят, на администраторите се препоръчва да инсталират последната версия на SQL Server или да актуализират драйвера Microsoft OLE DB до версия 18 или 19. Освен това списъкът с критични проблеми включва няколко уязвимости в Microsoft Office, които могат да бъдат използвани чрез отваряне на специално подготвен документ или дори чрез панела за предварителен преглед.

Поправена е и уязвимостта CVE-2025-49704 в Microsoft SharePoint, която позволява отдалечено изпълнение на код при наличие на акаунт в платформата. Междувременно актуализациите за Microsoft Office LTSC за Mac 2021 и 2024 все още не са готови – очаква се да бъдат пуснати скоро.