Microsoft łata 130 luk w zabezpieczeniach — krytyczne błędy w SQL Server i SPNEGO
W lipcu 2025 roku Microsoft opublikował aktualizacje zabezpieczeń usuwające 130 podatności, w tym 10 krytycznych, które dotyczyły kluczowych produktów, takich jak SQL Server, Windows, Edge i Visual Studio.
Ten miesiąc przynosi zmianę — żadna luka zero-day nie była wykorzystywana w rzeczywistych atakach, co kończy 11-miesięczną serię. Jedna z luk została jednak publicznie ujawniona jeszcze przed wydaniem poprawki:
- CVE-2025-49719 – podatność typu ujawnienie informacji w SQL Server (CVSS 7,5), która może powodować wyciek wrażliwych danych z pamięci, w tym kluczy kryptograficznych lub poświadczeń.
„Prawdopodobną przyczyną jest nieprawidłowa walidacja danych wejściowych, co może prowadzić do ujawnienia poświadczeń lub ciągów połączenia”, zauważył Mike Walters z firmy Action1.
Najpoważniejsza: zdalne wykonanie kodu w SPNEGO
Najpoważniejsza poprawka dotyczy CVE-2025-47981 (CVSS 9,8) – przepełnienia bufora w pamięci sterty w SPNEGO Extended Negotiation (NEGOEX), które potencjalnie pozwala atakującym wykonać kod przez sieć bez uwierzytelniania.
„Ta luka może być samorozprzestrzeniająca się”, ostrzegł Benjamin Harris z watchTowr, porównując poziom jej zagrożenia do WannaCry. Microsoft oznaczył tę lukę jako „Exploitation More Likely” (wykorzystanie bardziej prawdopodobne).
Inne groźne podatności
- Windows KDC Proxy – CVE-2025-49735 (CVSS 8,1)
- Windows Hyper-V – CVE-2025-48822 (CVSS 8,6)
- Microsoft Office – wiele luk umożliwiających zdalne wykonanie kodu (RCE) (CVSS 8,4)
„To cenne cele dla grup APT”, powiedział Ben McCarthy (Immersive), zwracając uwagę, że choć złożoność ataku jest wysoka, wykorzystanie tych luk jest możliwe dzięki zaawansowanym technikom.
BitLocker zagrożony: luki wymagające fizycznego dostępu
W BitLockerze załatano pięć błędów umożliwiających obejście zabezpieczeń (CVE o ocenie CVSS 6,8), które mogą pozwolić atakującemu z fizycznym dostępem do urządzenia ominąć ochronę szyfrowania. Problem wynika z nieprawidłowej obsługi pliku WinRE.wim.
„W przypadku zgubienia lub kradzieży urządzenia, którego dotyczy luka, jego dane mogą zostać w pełni odszyfrowane”, ostrzegł Jacob Ashdown z Immersive.
Koniec pewnej epoki: wygasa wsparcie dla SQL Server 2012
8 lipca 2025 roku oznacza również oficjalny koniec aktualizacji zabezpieczeń dla SQL Server 2012, ponieważ kończy się program rozszerzonych aktualizacji zabezpieczeń (ESU) Microsoftu.
Podsumowanie: co powinieneś zrobić
Organizacje powinny nadać priorytet wdrażaniu poprawek, zwłaszcza jeśli korzystają z:
- SQL Server
- systemów klienckich Windows 10/11
- laptopów z włączonym BitLockerem
- infrastruktury zintegrowanej z Azure lub lokalnej infrastruktury AD/NEGOEX
💡 Microsoft podkreśla pilność tych aktualizacji, zwłaszcza tam, gdzie nieuwierzytelniony dostęp przez sieć mógłby doprowadzić do szybkiego przejęcia systemu.
