اصلاحیه‌های امنیتی اردیبهشت 1404
در اردیبهشت 1404، مایکروسافت، سیسکو، فورتی‌نت، بیت‌دیفندر، گوگل، موزیلا و اس‌ای‌پی اقدام به عرضه به‌روزرسانی برای ترمیم آسیب‌پذیری‌های امنیتی در برخی محصولات خود کردند.
در این گزارش که با همکاری شرکت مهندسی شبکه گستر و مرکز مدیریت راهبردی افتا تهیه شده، برخی از این به‌روزرسانی‌های منتشرشده به طور اجمالی مورد بررسی قرار گرفته است.
| مایکروسافت | سیسکو | فورتی‌نت | بیت‌دیفندر |
| گوگل | موزیلا | اس‌ای‌پی |
مایکروسافت
23 اردیبهشت، شرکت مایکروسافت (Microsoft)، مجموعهاصلاحیههای امنیتی ماهانه خود را برای ماه میلادی می 2025 منتشر کرد. اصلاحیه‌های مذکور، بیش از 70 آسیب‌پذیری را که 7 مورد آنها، روز-صفر گزارش شده‌اند در محصولات مختلف این شرکت ترمیم می‌کنند.
نکته قابل توجه این که حداقل 5 مورد از این آسیب‌پذیری‌های ترمیم‌شده، از مدتی پیش، موردسوءاستفاده مهاجمان قرار گرفته‌اند.
در این گزارش که با همکاری شرکت مهندسی شبکه گستر و مرکز مدیریت راهبردی افتا تهیه شده، برخی از این به‌روزرسانی‌های منتشرشده به‌طور اجمالی مورد بررسی قرار گرفته است.
مجموعهاصلاحیههای ماه می، انواع مختلفی از آسیب‌پذیری‌ها از جمله موارد زیر را در محصولات مایکروسافت ترمیم می‌کنند:
- Remote Code Execution – به اختصار RCE (اجرای از راه دور کد)
- Elevation of Privilege (افزایش سطح دسترسی)
- Information Disclosure (افشای اطلاعات)
- Denial of Service – به اختصار DoS (منع سرویس)
- Security Feature Bypass (دور زدن سازوکارهای امنیتی)
- Spoofing (جعل)
RCE و Elevation of Privilege، به ترتیب با 28 و 17 مورد، بیشترین سهم از انواع آسیب‌پذیری‌های این ماه را به خود اختصاص داده‌اند.
6 مورد از آسیب‌پذیری‌های وصله‌شده، “بحرانی” (Critical) گزارش شده‌اند. شدت سایر آسیب‌پذیری‌ها نیز “زیاد” (Important) اعلام شده است. در درجه‌بندی شرکت مایکروسافت، نقاط ضعفی که سوءاستفاده از آنها بدون نیاز به دخالت و اقدام کاربر باشد، “بحرانی” تلقی شده و اصلاحیه‌هایی که این نوع نقاط ضعف را ترمیم می‌کنند، بالاترین درجه حساسیت یا “بحرانی” را دریافت می‌نمایند. نقاط ضعفی که سوءاستفاده موفق از آنها نیازمند فریب کاربر به انجام کاری باشد یا نیازمند دسترسی فیزیکی به دستگاه هدف باشد، توسط اصلاحیه‌هایی با درجه حساسیت “زیاد” برطرف و ترمیم می‌گردند.
همان‌طور که اشاره شد 7 مورد از آسیب‌پذیری‌های وصله‌شده، از نوع “روز-صفر” (Zero-day) اعلام شده‌اند. مایکروسافت، آن دسته از آسیب‌پذیری‌ها را روز-صفر می‌داند که قبل از عرضه اصلاحیه و به‌روزرسانی امنیتی برای آنها، یا موردسوءاستفاده مهاجمان قرار گرفته‌اند یا جزییات آنها به‌طور عمومی افشا شده باشد.
از مجموع 7 آسیب‌پذیری روز-صفر این ماه، 5 مورد زیر از قبل توسط مهاجمان اکسپلویت شده‌اند:
- CVE-2025-30400 که ضعفی از نوع Elevation of Privilege در DWM Core Library است و سوءاستفاده موفق از آن، مهاجم را قادر به ارتقای دسترسی خود بر روی ماشین قربانی تا سطح SYSTEM می‌کند.
- CVE-2025-32701 و CVE-2025-32706؛ این دو نیز آسیب‌پذیری‌هایی از نوع Elevation of Privilege هستند و Common Log File System Driver در سیستم عامل Windows از آنها تأثیر می‌پذیرد. اکسپلویت هر یک از این دو آسیب‌پذیری، دسترسی مهاجم را تا سطح SYSTEM ارتقا می‌دهد.
- CVE-2025-32709 که ضعفی از نوع Elevation of Privilege در Windows Ancillary Function Driver for WinSock گزارش شده است. سوءاستفاده موفق از این آسیب‌پذیری هم مهاجم را قادر به ارتقای دسترسی خود تا سطح SYSTEM بر روی ماشین قربانی می‌کند.
- CVE-2025-30397 که ضعفی از نوع RCE است و Scripting Engine در مرورگرهای Edge و IE از آن متأثر می‌شود. به گفته مایکروسافت، دسترسی به منابع از نوع ناسازگار (خطای Type Confusion) در موتور اسکریپت‌نویسی مایکروسافت، به مهاجم غیرمجاز امکان می‌دهد تا از طریق شبکه، اقدام به اجرای کد مخرب کند. برای این منظور، مهاجم باید کاربر احراز هویت‌شده‌ای را فریب دهد تا روی یک لینک خاص که به‌طور ویژه طراحی شده در مرورگر Edge/IE کلیک کند.
جزییات 2 آسیب‌پذیری زیر نیز اگر چه به‌صورت عمومی افشا شده اما موردی دال بر سوءاستفاده مهاجمان از آنها گزارش نشده است:
- CVE-2025-26685 که ضعفی از نوع Spoofing در Microsoft Defender بوده و سوءاستفاده موفق از آن، امکان جعل را در تنها با دسترسی شبکه‌ای به ماشین قربانی میسر می‌کند.
- CVE-2025-32702 که ضعفی از نوع RCE در Visual Studio است و امکان سوءاستفاده از آن، حتی بدون نیاز به اصالت‌سنجی نیز فراهم است.
فهرست کامل آسیب‌پذیری‌های ترمیم‌شده توسط مجموعهاصلاحیههای می 2025 مایکروسافت در جدول زیر قابل مطالعه است:
https://afta.gov.ir/fa-IR/Portal/4927/news/view/14608/2217/
سیسکو
شرکت سیسکو (Cisco Systems)، در اردیبهشت ماه، 49 آسیب‌پذیری را در محصولات مختلف خود ترمیم یا جزییات توصیه‌نامه آنها را به‌روزرسانی کرد. شدت دو مورد از این آسیب‌پذیری‌ها – با شناسه‌های CVE-2025-20188 و CVE-2025-32433 –، “بحرانی” و 21 مورد از آنها “بالا” (High) گزارش شده است. اطلاعات بیشتر در خصوص به‌روزرسانی‌ها و اصلاحیه‌های سیسکو در نشانی زیر قابل دسترس می‌باشد:
https://tools.cisco.com/security/center/publicationListing.x
فورتی‌نت
در دومین ماه 1404، شرکت فورتی‌نت (Fortinet)، اقدام به ترمیم 2 آسیب‌پذیری با شناسه‌های CVE-2025-47294 و CVE-2025-47295 در FortiOS کرد. اطلاعات بیشتر در لینک زیر قابل مطالعه است:
https://www.fortiguard.com/psirt
بیت دیفندر
در دومین ماه از بهار، شرکت بیت‌دیفندر (Bitdefender) اقدام به انتشار نسخه جدید نرم‌افزار GravityZone نمود. در این نسخه جدید، سیستم‌عامل پایه GravityZone، یعنی Ubuntu 20.04 LTS به نسخه جدیدتر، ایمن‌تر و دارای پشتیبانی بلندمدت Ubuntu 24.04 LTS ارتقا داده شده است. جزییات این نسخه جدید در لینک زیر قابل مطالعه است:
گوگل
شرکت گوگل (Google)، در اردیبهشت ماه، در چهار نوبت اقدام به انتشار نسخه جدید برای مرورگر Chrome کرد. این نسخه‌های جدید، در مجموع، 7 آسیب‌پذیری را در این مرورگر برطرف کرده‌اند. حداقل یکی از این آسیب‌پذیری‌ها – با شناسه CVE-2025-4664 – از مدتی پیش موردسوءاستفاده مهاجمان قرار گرفته است. توصیه‌نامه‌های گوگل در خصوص نسخه‌های جدید مذکور در لینک‌های زیر قابل‌مطالعه است:
https://chromereleases.googleblog.com/2025/04/stable-channel-update-for-desktop_22.html
https://chromereleases.googleblog.com/2025/04/stable-channel-update-for-desktop_29.html
https://chromereleases.googleblog.com/2025/05/stable-channel-update-for-desktop.html
https://chromereleases.googleblog.com/2025/05/stable-channel-update-for-desktop_14.html
موزیلا
در اردیبهشت، شرکت موزیلا (Mozilla)، چندین ضعف امنیتی را در مرورگر Firefox و نرم‌افزار مدیریت ایمیل Thunderbird برطرف کرد. شدت بسیاری از این باگ‌های امنیتی، “حیاتی” یا “بالا” گزارش شده است. اطلاعات بیشتر در لینک زیر:
https://www.mozilla.org/en-US/security/advisories/
اس‌ای‌پی
شرکت اس‌ای‌پی (SAP) هم در اردیبهشت، 16 توصیه‌نامه امنیتی در خصوص محصولات مختلف خود که اولویت برخی از آنها “حیاتی” و تعدادی نیز “بالا” اعلام شده منتشر کرد. جزییات آسیب‌پذیری‌های بررسی‌شده در توصیه‌نامه‌های مذکور در لینک زیر قابل دریافت است:
https://support.sap.com/en/my-support/knowledge-base/security-notes-news/may-2025.html
سـایـر
شرکت کانکت‌وایز (ConnectWise)، یک آسیب‌پذیری مهم را در نرم‌افزار ScreenConnect برطرف کرده است.
نسخه ۲۵.۲.۳ و نسخه‌های قبل از آن این نرم‌افزار دسترسی از راه دور از آسیب‌پذیری مذکور متأثر می‌شوند.
این آسیب‌پذیری که به آن شناسه CVE-2025-3935 تخصیص داده شده، از نحوه پردازش نادرست داده‌های ViewState در فرم‌های وب مبتنی بر ASP.NET ناشی می‌شود و در شرایط خاص، می‌تواند امکان اجرای کد دلخواه را به‌صورت از راه دور برای مهاجم فراهم کند.
شدت CVE-2025-3935، بالا (8.1 از 10) اعلام شده است.
به‌منظور سوءاستفاده از این ضعف امنیتی، مهاجم می‌تواند با تولید یک ViewState مخرب و تزریق آن به سرور آسیب‌پذیر، کدی با سطح دسترسی بالا اجرا نماید. این حمله نیاز به احراز هویت ندارد و از طریق شبکه و بدون آنکه نیاز به تعامل کاربر داشته باشد قابل اجراست. با این حال، پیچیدگی اکسپلویت CVE-2025-3935 نسبتاً بالا ارزیابی شده است.
این آسیب‌پذیری، در نسخه 2025.4 نرم‌افزار ScreenConnect مرتفع شده است. در این نسخه، قابلیت ViewState غیرفعال و وابستگی به آن حذف شده است تا از بروز چنین تهدیدی جلوگیری شود.
جزییات بیشتر در لینک زیر قابل دریافت و مطالعه است:
https://www.connectwise.com/company/trust/security-bulletins/screenconnect-security-patch-2025.4
آسـیب‌پـذیـری‌هـای در حـال سـوءاسـتفـاده
در اردیبهشت 1404، مرکز CISA ایالات متحده، ضعف‌های امنیتی زیر را به “فهرست آسیب‌پذیری‌های در حال سوءاستفاده” یا همان
Known Exploited Vulnerabilities Catalog اضافه کرد:
CVE-2023-38950 ZKTeco BioTime Path Traversal Vulnerability
CVE-2024-27443 Synacor Zimbra Collaboration Suite (ZCS) Cross-Site Scripting (XSS) Vulnerability
CVE-2025-27920 Srimax Output Messenger Directory Traversal Vulnerability
CVE-2024-11182 MDaemon Email Server Cross-Site Scripting (XSS) Vulnerability
CVE-2025-4428 Ivanti Endpoint Manager Mobile (EPMM) Code Injection Vulnerability
CVE-2025-4427 Ivanti Endpoint Manager Mobile (EPMM) Authentication Bypass Vulnerability
CVE-2025-42999 SAP NetWeaver Deserialization Vulnerability
CVE-2024-12987 DrayTek Vigor Routers OS Command Injection Vulnerability
CVE-2025-4664 Google Chromium Loader Insufficient Policy Enforcement Vulnerability
CVE-2025-32756 Fortinet Multiple Products Stack-Based Buffer Overflow Vulnerability
CVE-2025-32709 Microsoft Windows Ancillary Function Driver for WinSock Use-After-Free Vulnerability
CVE-2025-30397 Microsoft Windows Scripting Engine Type Confusion Vulnerability
CVE-2025-32706 Microsoft Windows Common Log File System (CLFS) Driver Heap-Based Buffer Overflow Vulnerability
CVE-2025-32701 Microsoft Windows Common Log File System (CLFS) Driver Use-After-Free Vulnerability
CVE-2025-30400 Microsoft Windows DWM Core Library Use-After-Free Vulnerability
CVE-2025-47729 TeleMessage TM SGNL Hidden Functionality Vulnerability
CVE-2024-11120 GeoVision Devices OS Command Injection Vulnerability
CVE-2024-6047 GeoVision Devices OS Command Injection Vulnerability
CVE-2025-27363 FreeType Out-of-Bounds Write Vulnerability
CVE-2025-3248 Langflow Missing Authentication Vulnerability
CVE-2025-34028 Commvault Command Center Path Traversal Vulnerability
CVE-2024-58136 Yiiframework Yii Improper Protection of Alternate Path Vulnerability
CVE-2024-38475 Apache HTTP Server Improper Escaping of Output Vulnerability
CVE-2023-44221 SonicWall SMA100 Appliances OS Command Injection Vulnerability
CVE-2025-31324 SAP NetWeaver Unrestricted File Upload Vulnerability
CVE-2025-1976 Broadcom Brocade Fabric OS Code Injection Vulnerability
CVE-2025-42599 Qualitia Active! Mail Stack-Based Buffer Overflow Vulnerability
CVE-2025-3928 Commvault Web Server Unspecified Vulnerability
فهرست کامل Known Exploited Vulnerabilities Catalog در لینک زیر قابل دریافت است:
https://www.cisa.gov/known-exploited-vulnerabilities-catalog
همچنین هشدارهای امنیتی منتشرشده از سوی CISA در خصوص برخی سامانه‌های کنترل صنعتی (ICS) در لینک زیر قابل مطالعه است:
