Microsoft исправила уязвимость в Windows, но вместе с этим создала новую уязвимость

В этом месяце Microsoft исправила уязвимость CVE-2025–21204 в операционной системе Windows, которая позволяла злоумышленникам «выполнять и/или манипулировать операциями по управлению файлами на машине жертвы с привилегиями учетной записи NT AUTHORITY\SYSTEM». Для решения проблемы обновление от апреля 2025 года создаёт новую папку %systemdrive%\inetpub, даже если на устройстве не используются службы Internet Information Services (IIS). Но, как оказалось, это исправление породило новую уязвимость, с помощью которой можно заблокировать установку будущих обновлений безопасности для Windows. Об этом сообщает известный исследователь безопасности Кевин Бомонт (Kevin Beaumont). Дело в том, что любой пользователь может создать символическую ссылку, перенаправляющую системный путь c:\inetpub на другой объект, например, на приложение «Блокнот». В результате попытки установки обновления от апреля 2025 года (и, вероятно, всех последующих) завершаются ошибкой или откатом сделанных изменений. mklink /j c:\inetpub c:\windows\system32\notepad.exe Бомонт уведомил Microsoft Security Research Center (MSRC) о существовании проблемы около двух недель назад, но пока не получил ответ....

12:17, 26.04.2025

Рубрика: «Интернет и Игры» Поделиться:

Palo Alto Networks исправила DoS-уязвимость в PAN-OS, и свежий баг уже атакуют хакеры Компания Palo Alto Networks сообщает, что хакеры уже эксплуатируют свежую DoS-уязвимость C ...

RCE-уязвимость в PHP влияет на все версии Windows Аналитики Devcore обнаружили опасную уязвимость удаленного выполнения кода (RCE) в PHP для ...

Хакеры эксплуатируют RCE-уязвимость в Microsoft Outlook Представители Агентства по кибербезопасности и защите инфраструктуры США (CISA) предупреди ...

В WinRAR исправлена уязвимость обхода MotW в Windows В WinRAR исправили уязвимость, которая позволяла обойти защитную функцию Mark of the Web ( ...