https://secutech.tw.messefrankfurt.com/taipei/zh-tw/programme-events/AIoT_SecurityForum.html
https://secutech.tw.messefrankfurt.com/taipei/zh-tw/programme-events/AIoT_SecurityForum.html

新聞

Microsoft 推出 2025年4月 Patch Tuesday 每月例行更新修補包

2025 / 04 / 14
編輯部
Microsoft 推出 2025年4月 Patch Tuesday 每月例行更新修補包
微軟發布 2025 年 4 月安全性更新,修補了其軟體產品中共 134 個漏洞,其中包含 1 個已遭惡意利用的零時差漏洞。此次更新修補了 11 個「重大(Critical)」等級的遠端程式碼執行漏洞、112 個重要(Important)等級漏洞,及 2 個為低(Low)等級漏洞。

各類漏洞分類統計如下:
  • 49 個權限提升漏洞
  • 9 個安全功能繞過漏洞
  • 31 個遠端程式碼執行漏洞
  • 17 個資訊洩露漏洞
  • 14 個阻斷服務漏洞
  • 3 個欺騙漏洞
此外,微軟也修補了其 Chromium 架構 Edge 瀏覽器中發現的 22個漏洞,這些漏洞都是在上個月的例行性修補更新之後才被發現的。

遭駭客積極利用的零時差漏洞

本次更新中遭駭客積極利用的零時差漏洞為:CVE-2025-29824-Windows 通用日誌檔案系統驅動程式權限提升漏洞(CVSS風險評分:7.8)。CLFS 為 Windows 核心層級元件,負責管理各項服務和應用程式的日誌。此漏洞源於使用後釋放(use-after-free)問題,使擁有一般權限的攻擊者能夠在本機上提升系統權限。

微軟指出,Storm-2460 駭客組織正在積極利用 CVE-2025-29824 漏洞。該組織成功入侵系統後,利用此漏洞提升權限,並在受害者網路中部署勒索軟體。攻擊目標涵蓋多個國家的企業,包括美國的資訊科技與房地產企業、委內瑞拉的金融機構、沙烏地阿拉伯的零售業者,以及一家西班牙軟體公司。微軟在部落格中強調,為了加強對抗勒索軟體攻擊的防護,強烈建議各組織優先安裝針對權限提升漏洞的安全性更新。

根據海外資安專家指出,CLFS 漏洞在 Patch Tuesday 修補程式中頻繁出現。自 2022 年以來,微軟已修補了 32 個 CLFS 相關漏洞,年均修補量為 10 個,其中 6 個已遭駭客利用。最近一次修補的零時差漏洞是 2024 年 12 月的 CVE-2024-49138。值得注意的是,CVE-2025-29824 為該元件中第 六個遭濫用的權限提升漏洞(自 2022 年起)。先前的漏洞包括 CVE-2022-24521、CVE-2022-37969、CVE-2023-23376、CVE-2023-28252 和 CVE-2024-49138,而這些漏洞的 CVSS 風險評分均為 7.8。

資安工程師評估,此漏洞對組織構成重大風險,因為駭客能將一般使用者權限提升至系統管理員等級。駭客只要取得初始存取權(可能透過釣魚攻擊、惡意程式或遭竊的帳密),就能利用此漏洞繞過權限限制。此外,攻擊者可藉此植入惡意程式、關閉警報系統,並在企業網路中進行橫向移動。

其他值得注意的權限提升漏洞

資安專家指出,本次更新中其他值得關注的權限提升漏洞有三個:Windows 安裝程式中的 CVE-2025-27727(CVSS風險評分:7.8)Microsoft Office 中的 CVE-2025-29792(CVSS風險評分:7.3),以及 DirectX 圖形核心的 CVE-2025-29812(CVSS風險評分:7.8)。這些漏洞皆可讓攻擊者取得系統層級權限。微軟將它們列為「重要」而非「重大」等級,但由於這些漏洞具有攻擊複雜度低、所需權限低,且無需使用者互動等特性,因此被評估為較容易遭到攻擊的弱點。

資安研究員指出,攻擊者在成功入侵系統後,需要提升權限才能執行更多進階操作,如在系統間橫向移動。這正說明了為何權限提升漏洞在目標性攻擊中如此普遍,也解釋了組織為何必須優先防範此類漏洞。

本文轉載自 DarkReading、TheHackerNews、BleepingComputer。