Podatności Microsoft wykryte i opublikowane w grudniowym Patch Tuesday
Microsoft opublikował na swojej stronie obszerny zestaw nowo wykrytych podatności w swoich produktach. Wskazane luki w zabezpieczeniach mogą umożliwiać m.in. zdalne wykonanie kodu, spoofing, odmowę usługi, ujawnienie informacji, podniesienie uprawnień oraz obejście mechanizmów bezpieczeństwa. Ze względu na szeroki zakres opublikowanych podatności zalecamy niezwłoczne wdrożenie odpowiednich środków zaradczych.
Podatne systemy
- Usługi informacyjne aplikacji
- Azure Monitor Agent
- Copilot
- System plików Microsoft Brokering
- Microsoft Edge dla iOS
- Microsoft Exchange Server
- Komponent graficzny Microsoft
- Microsoft Office
- Microsoft Office Access
- Microsoft Office Excel
- Microsoft Office Outlook
- Microsoft Office SharePoint
- Microsoft Office Word
- Storvsp.sys Driver
- Monitor serwerowy z ramką kamery Windows
- Usługa cache caching po stronie klienta (CSC) Windows
- Sterownik Windows Cloud Files Mini Filter
- Sterownik systemu plików logów Windows
- Biblioteka rdzeniowa Windows DWM
- Usługa zapory Windows Defender
- Windows DirectX
- Windows Hyper-V
- Instalator Windows
- Kolejka wiadomości w systemie Windows
- Windows PowerShell
- System plików projekcji Windows
- Sterownik filtrów systemu plików projekcjonowanego w Windows
- Menedżer połączeń zdalnego dostępu Windows
- System plików Windows Resilient (ReFS)
- Trasowanie i Usługa Zdalnego Dostępu Windows (RRAS)
- Powłoka Windows
- Sterownik VSP do przechowywania danych Windows
- Windows Win32K - GRFX
Najważniejsze podatności CVE
Podatność CVE-2025-62221 Microsoft Windows
Score: 7,8 High
Charakterystyka podatności
Sterownik filtru Microsoft Windows Cloud Files Mini zawiera lukę w zabezpieczeniach typu użycie po zwolnieniu pamięci (use-after-free), która może umożliwić autoryzowanemu atakującemu lokalne podniesienie uprawnień.
Podatne systemy
Windows wersje serwerowe od Windows Server 2019 do Windows Server 2025 oraz wersje klienckie Windows 10 i 11.
Działania zapobiegawcze
Zastosuj oficjalną poprawkę firmy Microsoft zgodnie z rekomendacją Microsoft opublikowanej na stronie producenta.
Źródło
Podatność CVE-2025-64671 Copilot
Score: 8,4 High
Charakterystyka podatności
Copilot ma lukę w zabezpieczeniach, która polega na niewłaściwym filtrowaniu specjalnych znaków w poleceniach. Może to pozwolić atakującemu uruchomić lokalnie dowolney kod.
Podatne systemy
Wtyczka GitHub Copilot dla środowisk IDE JetBrains
Działania zapobiegawcze
Zastosuj oficjalną poprawkę firmy Microsoft zgodnie z rekomendacją Microsoft opublikowanej na stronie producenta.
Podatność CVE-2025-54100 PowerShell
Score: 7,8 High
Charakterystyka podatności
W programie Windows PowerShell występuje luka, która polega na niewłaściwym filtrowaniu znaków w poleceniach. co może pozwolić atakującemu na uruchomienie dowolnego kodu lokalnie.
Podatne systemy
Windows wersje serwerowe od Windows Server 2008 do Windows Server 2025 oraz wersje klienckie Windows 10 i 11.
Działania zapobiegawcze
Zastosuj oficjalną poprawkę firmy Microsoft zgodnie z rekomendacją Microsoft opublikowanej na stronie producenta.
Podatność CVE-2025-62458 Win32k (Podsystem jądra systemu Windows)
Score: 7,8 High
Charakterystyka podatności
Luka polega na braku odporności systemu na możliwość wysłania przez atakującego bardzo długiego, złośliwego adresu URL z wieloma znakami Unicode, co przeciąża proces normalizacji NFKC w Pythonie i blokuje serwer.
Podatne systemy
Windows wersje serwerowe od Windows Server 2008 do Windows Server 2022 oraz wersje klienckie Windows 10 i 11.
Działania zapobiegawcze
Zastosuj oficjalną poprawkę firmy Microsoft zgodnie z rekomendacją Microsoft opublikowanej na stronie producenta.
Podatność CVE-2025-62554 Microsoft Office
Score: 8,4 High
Charakterystyka podatności
W pakiecie Microsoft Office występuje błąd związany z nieprawidłowym dostępem do zasobu przy użyciu niezgodnego typu danych (type confusion). Może to prowadzić do:
- zapisu lub odczytu w niepoprawnym obszarze pamięci,
- wykonania nieprzewidzianych instrukcji,
- w konsekwencji uruchomienia złośliwego kodu lokalnie z uprawnieniami użytkownika.
Podatne systemy
Wersje 32-i 64 bitowe Microsoft Office dla Windows, Mac oraz Androida m.in:
- Microsoft Office 2016,
- Microsoft Office 2019,
- Microsoft Office Long Term Servicing Channel (LTSC) – Office 2021 i Office 2024,
- Microsoft Office for Android,
- Microsoft 365 Apps (Enterprise Edition),
- Microsoft Office LTSC dla komputerów Mac 2021 i 2024.
Działania zapobiegawcze
Zastosuj oficjalną poprawkę firmy Microsoft zgodnie z rekomendacją Microsoft opublikowanej na stronie producenta.
Podatności CVE-2025-62557
Score: 8,4 High
Charakterystyka podatności
- Podatność umożliwia w Microsoft Office nieautoryzowanemu atakującemu wykonanie kodu lokalnie poprzez zycie polecenia "after free".
- Po otwarciu wiadomości e-mail wystarczy wejść w podgląd dokumentu (nie trzeba go pobierać), aby uruchomić exploit. Wynika to z błędu pamięci, który może zostać wykorzystany do obejścia zabezpieczeń takich jak ASLR, DEP czy CFG i umożliwić exploitowanie.
Podatne systemy
Wersje 32-i 64 bitowe Microsoft Office dla Windows, Mac oraz Androida m.in:
- Microsoft Office 2016, Microsoft Office 2019,
- Microsoft Office Long Term Servicing Channel (LTSC) – Office 2021 i Office 2024,
- Microsoft Office for Android,
- Microsoft 365 Apps (Enterprise Edition),
- Microsoft Office LTSC dla komputerów Mac 2021 i 2024.
Działania zapobiegawcze
Zastosuj oficjalną poprawkę firmy Microsoft zgodnie z rekomendacją Microsoft opublikowanej na stronie producenta.