Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Microsoft opravuje 86 zraniteľností v rámci Patch Tuesday

Microsoft v rámci "Patch Tuesday" vydal opravy pre 86 zraniteľností. Najzávažnejšie z nich sú popísané nižšie, úplný zoznam nájdete na [1] alebo v prehľadnej SANS tabuľke [2].

Microsoft High Performance Compute Pack - RCE (CVE-2025-55232)
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je kvôli deserializácii nedôveryhodných údajov v Microsoft High Performance Compute Pack (HPC) umožnené neoprávnene spustiť kód [3].

Zraniteľnosť sa nachádza v produkte:

  • Microsoft High Performance Compute Pack;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C

Viac informácií:

Zraniteľnosť bola verejne oznámená 9. 9. 2025.

Windows Routing and Remote Access Service - RCE (CVE-2025-54106)
CVSS 8.8 (High)

Neautentizovanému vzdialenému útočníkovi je kvôli zraniteľnosti typu integer overflow alebo wraparound vo Windows Routing and Remote Access Service (RRAS) umožnené spustiť kód [4].

Zraniteľnosť sa nachádza v produkte:

  • Windows Routing and Remote Access Service;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C

Viac informácií:

Zraniteľnosť bola verejne oznámená 9. 9. 2025.

Windows Kernel - eskalácia oprávnení (CVE-2025-54110)
CVSS 8.8 (High)

Autentizovanému lokálnemu útočníkovi je kvôli zraniteľnosti typu integer overflow alebo wraparound vo Windows Kernel umožnené zvýšiť svoje oprávnenia na úroveň SYSTEM [5].

Zraniteľnosť sa nachádza v produkte:

  • Windows Kernel;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H/E:U/RL:O/RC:C

Viac informácií:

Zraniteľnosť bola verejne oznámená 9. 9. 2025.

Microsoft SharePoint - RCE (CVE-2025-54897)
CVSS 8.8 (High)

Autentizovanému vzdialenému útočníkovi je kvôli deserializácii nedôveryhodných údajov v Microsoft Office SharePoint umožnené spustiť kód [6].

Zraniteľnosť sa nachádza v produkte:

  • Microsoft SharePoint;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C

Viac informácií:

Zraniteľnosť bola verejne oznámená 9. 9. 2025.

Microsoft Office - RCE (CVE-2025-54910)
CVSS 8.4 (High)

Neautentizovanému lokálnemu útočníkovi je kvôli zraniteľnosti typu heap-based buffer overflow v Microsoft Office umožnené spustiť kód [7].

Zraniteľnosť sa nachádza v produkte:

  • Microsoft Office;

CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C

Viac informácií:

Zraniteľnosť bola verejne oznámená 9. 9. 2025.

Windows NTLM - eskalácia oprávnení (CVE-2025-54918)
CVSS 8.8 (High)

Autentizovanému vzdialenému útočníkovi je kvôli nesprávnej autentizácii v protokole Windows NTLM umožnené zvýšiť svoje oprávnenia na úroveň SYSTEM [8].

Zraniteľnosť sa nachádza v produkte:

  • Windows NTLM;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C

Viac informácií:

Zraniteľnosť bola verejne oznámená 9. 9. 2025.

Microsoft SQL Server - eskalácia oprávnení (CVE-2025-55227)
CVSS 8.8 (High)

Autentizovanému vzdialenému útočníkovi je kvôli chybnej neutralizácii špeciálnych prvkov v príkazoch v Microsoft SQL Serveri umožnené zvýšiť svoje oprávnenia [9].

Zraniteľnosť sa nachádza v produkte:

  • Microsoft SQL Server;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C

Viac informácií:

  • CVE-2025-55227 na cve.org, NVD
  • CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 9. 9. 2025.

Windows SMB Server - eskalácia oprávnení (CVE-2025-55234)
CVSS 8.8 (High)

Neautentizovanému vzdialenému útočníkovi je kvôli nesprávnej autentizácii vo Windows SMB umožnené vykonávať relay útoky a zvýšiť svoje oprávnenia [10].

Zraniteľnosť sa nachádza v produkte:

  • Windows SMB Server;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C

Viac informácií:

Zraniteľnosť bola verejne oznámená 9. 9. 2025.

Azure Windows Virtual Machine Agent - eskalácia oprávnení (CVE-2025-49692)
CVSS 7.8 (High)

Autentizovanému lokálnemu útočníkovi je kvôli nesprávnemu riadeniu prístupu v Azure Windows Virtual Machine Agent umožnené zvýšiť svoje oprávnenia na úroveň NT AUTHORITY/SYSTEM a spustiť ľubovoľný kód [11].

Zraniteľnosť sa nachádza v produkte:

  • Azure Windows Virtual Machine Agent;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C

Viac informácií:

Zraniteľnosť bola verejne oznámená 9. 9. 2025.

Windows BitLocker - eskalácia oprávnení (CVE-2025-54912)
CVSS 7.8 (High)

Autentizovanému lokálnemu útočníkovi je kvôli zraniteľnosti typu use-after-free vo Windows BitLocker umožnené zvýšiť svoje oprávnenia [12].

Zraniteľnosť sa nachádza v produkte:

  • Windows BitLocker;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C

Viac informácií:

Zraniteľnosť bola verejne oznámená 9. 9. 2025.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 15. 9. 2025.

CESNET, z.s.p.o. Logo