Анализ обновлений Microsoft Patch Tuesday – Июнь 2025

Краткое Резюме

Во вторник, 10.06.2025, Microsoft выпустила ежемесячный патч безопасности, устраняющий 66 уязвимостей в своих продуктах.

По уровню опасности:

• Important — 56;
• Critical — 10.

Эксплуатируемые (Zero-Days) и Публично Раскрытые Уязвимости

Особое внимание следует уделить на следующие 2 уязвимости. Их исправление является наивысшим приоритетом:

• CVE-2025-33053 (CVSS 8.8; Important) — Web Distributed Authoring and Versioning (WEBDAV) Remote Code Execution Vulnerability (Remote Code Execution). Уязвимость в Microsoft Windows Web Distributed Authoring and Versioning (WEBDAV) позволяет удаленному злоумышленнику выполнить произвольный код, если пользователь перейдет по специально созданному URL-адресу WebDAV.
• CVE-2025-33073 (CVSS 8.8; Important) — Windows SMB Client Elevation of Privilege Vulnerability (Elevation of Privilege). Некорректный контроль доступа в клиенте Windows SMB позволяет авторизованному злоумышленнику повысить свои привилегии в сети до уровня SYSTEM посредством выполнения вредоносного скрипта.

Общий Обзор и Тенденции

Июньский Patch Tuesday 2025 от Microsoft включает исправления для 66 уязвимостей, что меньше, чем в насыщенном майском обновлении. Несмотря на меньшее общее количество, пакет содержит 10 критических уязвимостей, требующих первоочередного внимания. Ключевые тенденции, наблюдаемые в этом месяце:

• Большое количество уязвимостей удаленного выполнения кода (RCE): Значительная часть исправлений, включая несколько критических, нацелена на устранение RCE-уязвимостей. Основной фокус пришелся на Microsoft Office (Word, Excel, Outlook, PowerPoint) и Microsoft SharePoint Server, что подчеркивает их роль как ключевых векторов атак на корпоративные среды.
• Множественные уязвимости раскрытия информации: Отличительной чертой этого месяца является большое число однотипных уязвимостей раскрытия информации (Information Disclosure) в компоненте Windows Storage Management Provider. Хотя они имеют средний рейтинг опасности, их количество может указывать на системную проблему в данном компоненте.
• Уязвимости отказа в обслуживании (DoS): Выпущено несколько важных исправлений для DoS-уязвимостей в сетевых службах, таких как DHCP Server и Local Security Authority (LSA). Эксплуатация этих уязвимостей может привести к нарушению стабильности и доступности ключевых сетевых сервисов.
• Сохранение угрозы повышения привилегий (EoP): Как и в предыдущие месяцы, уязвимости повышения привилегий остаются актуальной проблемой. В июне были исправлены EoP-уязвимости в таких компонентах, как Windows Task Scheduler и Windows Installer, что свидетельствует о продолжающейся работе Microsoft по укреплению ядра системы.

Полный Список Уязвимостей

Ниже представлена таблица со всеми уязвимостями, исправленными в этом месяце.

Вывод

Июньское обновление, хоть и менее объемное по сравнению с маем, требует от ИТ-администраторов пристального внимания из-за наличия 10 критических уязвимостей и двух активно обсуждаемых (одна эксплуатируемая, одна публично раскрытая). Приоритет должен быть отдан установке обновлений для Microsoft Office и SharePoint Server, так как уязвимости в этих продуктах традиционно используются для проникновения в корпоративные сети. Организациям следует оценить риски, связанные с уязвимостями типа «Отказ в обслуживании», и принять меры по защите критически важных сетевых служб. Своевременное применение патчей для CVE-2025-33053 и CVE-2025-33073 является абсолютно необходимым для предотвращения потенциальных атак. В целом, стратегия проактивного управления уязвимостями и автоматизация процессов обновления остаются лучшей практикой для поддержания безопасности инфраструктуры. Публичное раскрытие информации о слабых местах неизбежно ведет к созданию эксплойтов, поэтому промедление с установкой патчей создает неоправданный риск.