Microsoftova Patch Tuesday ažuriranja u avgustu obuhvataju više od 100 ranjivosti u proizvodima ovog tehnološkog giganta.
Nijedna od bezbjednosnih rupa zakrpljenih ovog mjeseca, prema dostupnim informacijama, nije bila iskorišćena u praksi. Jedna ranjivost, eskalacija privilegija u Windowsu označena kao CVE-2025-53779, označena je kao javno otkrivena.
Desetak ranjivosti dobilo je ocjenu „kritična ozbiljnost“. Većina njih zapravo spada u kategoriju „visoka ozbiljnost“ na osnovu CVSS skora, osim CVE-2025-53766, propusta koji omogućava izvršavanje udaljenog koda u GDI+ komponenti Windowsa, sa CVSS skorom od 9.8.
Prema podacima Trend Micro Zero Day Initiative (ZDI), koja je sažela zakrpe, CVE-2025-53766 može biti iskorišćen tako što bi meta bila navedena da posjeti maliciozni sajt ili otvori maliciozni dokument.
„Najgori mogući scenario bio bi da napadač postavi sadržaj putem oglasne mreže, koji bi zatim bio prikazan korisnicima. Blokatori oglasa nisu tu samo da uklone smetnje; oni takođe štite od malicioznih oglasa“, objasnio je Dustin Childs iz ZDI-ja. „Oni su rijetki, ali su se dešavali u prošlosti. Kako GDI+ obuhvata mnogo različitih komponenti (a korisnici imaju tendenciju da kliknu na bilo šta), testirajte i primijenite ovu zakrpu što prije.“
Još jedna ranjivost koja je „kritična“ na osnovu CVSS skora je CVE-2025-50165, koja pogađa grafičku komponentu Windowsa i takođe omogućava izvršavanje udaljenog koda. Iskorišćavanje zahtijeva da korisnik pregleda posebno kreiranu sliku. Microsoft je ovom problemu dodijelio ocjenu ozbiljnosti „važno“.
Ostale ranjivosti koje omogućavaju izvršavanje udaljenog koda su CVE-2025-53740 i CVE-2025-53731, koje pogađaju Office i mogu biti iskorišćene preko Preview Pane funkcije.
Još jedan propust vrijedan pomena je CVE-2025-49712, greška u SharePointu koja omogućava izvršavanje udaljenog koda. ZDI je naveo da je slična ranjivosti koja je nedavno iskorišćena kao dio ToolShell lanca eksploatacije.
Na listi ranjivosti koje je Microsoft označio kao „kritične“ nalaze se i brojni problemi u Hyper-V-u (odavanje informacija, spoofing i izvršavanje udaljenog koda), kao i propust u Azure Stack Hub-u koji omogućava odavanje informacija.
Procjena mogućnosti eksploatacije za sve ove propuste je „manje vjerovatna“ ili „nevjerovatna“, što znači da Microsoft ne očekuje njihovo iskorišćavanje u praksi.
Adobe je takođe objavio svoja Patch Tuesday ažuriranja, rješavajući skoro 70 CVE-ova u više od deset proizvoda.
Izvor: SecurityWeek
