مایکروسافت آسیب‌پذیری روز صفر مورد استفاده برای جاسوسی سایبری را برطرف کرد

CVE-2025-33053  یک آسیب‌پذیری اجرای کد از راه دور در پروتکل Web Distributed Authoring and Versioning (WebDAV) است که یک پروتکل برای گسترش عملکرد پروتکل HTTP برای تعامل با فایل‌ها می‌باشد.

این آسیب‌پذیری توسط محققان Check Point شناسایی شده و در مارس ۲۰۲۵ توسط یک گروه پیشرفته تهدید پایدار (APT) معروف به Stealth Falcon برای تحویل یک ابزار جاسوسی سفارشی‌ساخته شده  به یک سازمان دفاعی بزرگ در ترکیه مورد سوءاستفاده قرار گرفته است.

محققان اعلام کردند: حمله با چیزی که شبیه به یک فایل میانبر استاندارد بود شروع شد و یک فایل .url که به عنوان یک سند PDF مرتبط با آسیب تجهیزات نظامی جعل شده بود.

این فایل احتمالاً از طریق یک ایمیل فیشینگ ارسال شده و پس از اجرا، از این آسیب‌پذیری روز صفر برای اجرای بدافزار از یک سرور WebDAV تحت کنترل مهاجم استفاده می‌کرد.

محققان توضیح دادند: «مهاجمان ترتیب جستجوی اجرای فایل در ویندوز را دست‌کاری کردند. آنها یک ابزار داخلی ویندوز را فریب دادند تا یک برنامه مخرب میزبانی شده روی سرور راه‌دورشان را اجرا کند.»

«این تکنیک به Stealth Falcon اجازه داد تا کد خود را بدون نیاز به ذخیره مستقیم فایل‌ها در مرحله اول زنجیره آلودگی روی کامپیوتر قربانی اجرا کنند. همچنین به آنها کمک کرد تا با تکیه بر اجزای معتبر و مورد اعتماد ویندوز، از تشخیص فرار کنند.»

و در حالی که WebDAV به‌صورت پیش‌فرض فعال نیست (زیرا در سال ۲۰۲۳ منسوخ شده است)، مایکروسافت با این حال تصمیم گرفته است این نقص را هم در نسخه‌های تازه منتشر شده ویندوز و ویندوز سرور و هم در برخی نسخه‌های قدیمی‌تر اصلاح کند.

سایر وصله‌های مایکروسافت CVE-2025-33073، یک آسیب‌پذیری در کلاینت SMB ویندوز که می‌تواند برای افزایش امتیاز مورد سوءاستفاده قرار گیرد اگر مهاجمان بتوانند قربانی را متقاعد کنند به یک سرور SMB تحت کنترل مهاجم متصل شود، به صورت عمومی افشا شده است اما مایکروسافت می‌گوید احتمال سوءاستفاده از آن کمتر است.

در میان آسیب‌پذیری‌هایی که احتمال سوءاستفاده از آنها بیشتر است، می‌توان به موارد زیر اشاره کرد:

CVE-2025-33070، یک آسیب‌پذیری در Windows Netlogon که می‌تواند به مهاجمان اجازه دهد با ارسال درخواست‌های احراز هویت خاص به کنترلر دامنه، امتیازات مدیر دامنه را به دست آورند.

CVE-2025-47162، CVE-2025-47164 و CVE-2025-47167 – نقص‌های اجرای کد از راه دور (RCE) در Microsoft Office که هنوز در Microsoft 365 Apps for Enterprise اصلاح نشده‌اند.

CVE-2025-32717، یک آسیب‌پذیری اجرای کد از راه دور در Microsoft Word که می‌تواند از طریق یک فایل RTF مخرب مورد سوءاستفاده قرار گیرد، که قربانی آن را باز می‌کند یا فقط در پنجره پیش‌نمایش مشاهده می‌کند.

CVE-2025-33071، یک نقص استفاده پس از آزادسازی در سرویس پروکسی KDC ویندوز (KPSSVC)، که می‌تواند به یک مهاجم بدون احراز هویت اجازه دهد کد را از طریق شبکه اجرا کند.

همانطور که محققان Rapid7 توضیح دادند، «خبر خوب این است که فقط دارایی‌های ویندوز سروری که به عنوان یک سرور پروتکل پروکسی مرکز توزیع کلید Kerberos پیکربندی شده‌اند – خوشبختانه، این به عنوان پیکربندی استاندارد برای کنترلر دامنه فعال نیست – و سوءاستفاده نیازمند این است که مهاجم یک شرایط مسابقه را برنده شود. خبر بد این است که مایکروسافت بدون توجه به این موضوع، احتمال سوءاستفاده را بیشتر می‌داند و از آنجا که یک پروکسی KDC به درخواست‌های Kerberos از شبکه‌های غیرقابل اعتماد کمک می‌کند تا به راحتی به دارایی‌های قابل اعتماد دسترسی پیدا کنند بدون نیاز به اتصال مستقیم TCP از کلاینت به کنترلر دامنه، معامله اینجا این است که خود پروکسی KDC به احتمال زیاد در معرض یک شبکه غیرقابل اعتماد قرار دارد.»

مایکروسافت همچنین به CVE-2025-3052 پرداخته است، یک آسیب‌پذیری خرابی حافظه در ۱۴ ماژول که با گواهی UEFI شخص ثالث مایکروسافت امضا شده‌اند. این آسیب‌پذیری می‌تواند به مهاجمان اجازه دهد کدهای بدون امضا را در طول فرآیند بوت (یعنی قبل از بارگذاری سیستم عامل) اجرا کنند و بوتکیت‌ها را نصب کنند.

«این ماه، مایکروسافت BadSuccessor را اصلاح نکرد، یک آسیب‌پذیری افزایش امتیاز روز صفر، علیرغم افشای آن توسط محققان آکامای در ۲۱ مه و انتشار عمومی نمونه‌های اثبات‌شده، از جمله یک پیاده‌سازی .NET به نام SharpSuccessor، و قرارگیری آن در NetExec و BloodyAD،» ساتنام نارنگ، مهندس ارشد تحقیقات در Tenable اشاره کرد.

«BadSuccessor فقط دامنه‌هایی را تحت تأثیر قرار می‌دهد که حداقل یک کنترل‌کننده دامنه Windows Server 2025 دارند، پیکربندی نادری که ما فقط در ۰.۷٪ از دامنه‌های AD بر اساس زیرمجموعه‌ای از داده‌های تله‌متری خود مشاهده کرده‌ایم. با این حال، می‌دانیم که مایکروسافت قصد دارد این نقص را برطرف کند، اما نه این ماه. سازمان‌هایی که حداقل یک کنترل‌کننده دامنه Windows Server 2025 دارند، باید مجوزهای اصلی را بررسی و تا حد امکان محدود کنند.»

به‌روزرسانی‌های امنیتی ادوبی ادوبی به‌روزرسانی‌های امنیتی برای InCopy، Experience Manager، InDesign، Substance 3D Sampler، Substance 3D Painter، Acrobat Reader، Commerce و Magento Open Source منتشر کرده است که بیش از ۲۵۰ آسیب‌پذیری با شماره CVE را برطرف می‌کنند.

در میان این به‌ روزرسانی‌ها، ادوبی توصیه می‌کند که آخرین مورد را در اولویت قرار دهید: در حالی که بیشتر پنج آسیب‌پذیری اصلاح‌شده فقط توسط مهاجمانی قابل بهره‌برداری هستند که قبلاً مجوزهای مدیریتی را به دست آورده‌اند و در حالی که ادوبی از هیچ بهره‌برداری در طبیعت برای هیچ یک از این مسائل اطلاعی ندارد، این آسیب‌پذیری‌ها «ریسک بالاتری برای هدف قرار گرفتن دارند». شرکت از مدیران خواست که این به‌روزرسانی را در عرض ۷۲ ساعت نصب کنند.