Вторник Патчей», июль 2025: Microsoft исправила 137 проблем безопасности, в том числе одну уязвимость «нулевого дня»

Классификация уязвимостей по типу:

• 53 уязвимости повышения привилегий
• 8 уязвимостей обхода функций безопасности
• 41 уязвимость удаленного выполнения кода
• 18 уязвимостей раскрытия информации
• 6 уязвимостей отказа в обслуживании
• 4 уязвимости спуфинга

В это число не входит уязвимости Mariner и Microsoft Edge, исправленные в начале июля.

Обновления безопасности Windows, июнь 2025

Для установки доступны следующие обновления:

Windows

Windows LTSC

• Обновление KB5062553 (Build 26100.4652) для Windows 11 LTSC 2024
• Обновление KB5062554 (Build 19044.6093) для Windows 10 LTSC 2021
• Обновление KB5062557 (Build 17763.7558) для Windows 10 LTSC 2019

Windows Server

• Обновление KB5062553 (OS Build 26100.4652) для Windows Server 2025
• Обновление KB5062553 (OS Build 26100.4652) для Windows Server, версия 24H2
• Обновление KB5062570 (OS Build 25398.1732) для Windows Server, версия 23H2
• Обновление KB5062572 (OS Build 20348.3932) для Windows Server 2022
• Обновление KB5062557 (OS Build 17763.7558) для Windows Server 2019
• Обновление KB5062560 (OS Build 14393.8246) для Windows Server 2016

Исправлена уязвимость «нулевого дня»

В этот «Вторник Патчей» исправлена всего одна уязвимость «нулевого дня», обнаруженная в Microsoft SQL Server.

Microsoft классифицирует уязвимость как уязвимость нулевого дня, если она публично раскрыта или активно эксплуатируется без официального исправления.

• CVE-2025-49719 — уязвимость раскрытия информации в Microsoft SQL Server

Microsoft устранила уязвимость в Microsoft SQL Server, которая могла позволить удаленному злоумышленнику, не прошедшему аутентификацию, получить доступ к данным из неинициализированной памяти.

В бюллетене по безопасности Microsoft отмечает:

Неправильная проверка входных данных в SQL Server позволяет неавторизованному атакующему раскрывать информацию через сеть.

Администраторы могут устранить уязвимость, установив последнюю версию Microsoft SQL Server и драйвер Microsoft OLE DB версии 18 или 19.

Хотя в рамках июльского «Вторника Патчей» была исправлена лишь одна уязвимость нулевого дня, Microsoft также закрыла множество критических уязвимостей удаленного выполнения кода (RCE) в Microsoft Office. Для их эксплуатации достаточно открыть специально подготовленный документ или просто просмотреть его в области предварительного просмотра.

Компания уточнила, что обновления безопасности для этих уязвимостей пока недоступны для Microsoft Office LTSC for Mac 2021 и 2024, но будут выпущены в ближайшее время.

Кроме того, Microsoft исправила еще одну критическую уязвимость удаленного выполнения кода в Microsoft SharePoint с идентификатором CVE-2025-49704. Ее можно эксплуатировать удаленно через Интернет при наличии учетной записи на платформе.

Обновления от других компаний

• Компания AMD раскрыла подробности о новых атаках Transient Scheduler Attacks, основанных на отчете Microsoft под названием «Enter, Exit, Page Fault, Leak: Testing Isolation Boundaries for Microarchitectural Leaks» и официальной публикации AMD.
• Компания Cisco выпустила множество патчей, включая исправление уязвимости с жестко заданными root-учетными данными SSH в Unified Communications Manager (Unified CM).
• Компания Fortinet выпустила обновления безопасности для ряда продуктов, включая FortiOS, FortiManager, FortiSandbox, FortiIsolator и FortiProxy.
• Компания Google выпустила обновления безопасностидля браузера Chrome, устраняющие активно эксплуатируемую уязвимость нулевого дня (CVE-2025-6554). Июльский бюллетень безопасности для Android 13, Android 14, Android 15 и Android 16 – не содержит обновлений безопасности.
• Компания Grafana выпустила исправления четырех уязвимостей в Chromium-компонентах плагина Grafana Image Renderer и агента Synthetic Monitoring.
• Компания Ivanti устранила уязвимости в продуктах Ivanti Connect Secure, Policy Secure, EPMM и EPM. Сообщений об активной эксплуатации этих уязвимостей не поступало.
• Компания SAP выпустила июльские обновления безопасности для различных продуктов, повысив оценку серьезности уязвимости CVE-2025-30012 в SAP Supplier Relationship Management до максимального уровня — 10 из 10.