اصلاحیه‌های امنیتی مهر 1404
در مهر 1404، مایکروسافت، سیسکو، سوفوس، سیتریکس، گوگل، موزیلا، اس‌ای‌پی و وییم اقدام به عرضه به‌روزرسانی برای ترمیم آسیب‌پذیری‌های امنیتی در برخی محصولات خود کردند.
در این گزارش که با همکاری شرکت مهندسی شبکه گستر و مرکز مدیریت راهبردی افتا تهیه شده، برخی از این به‌روزرسانی‌های منتشرشده به طور اجمالی مورد بررسی قرار گرفته است.
| مایکروسافت | سیسکو | سیتریکس | گوگل |
| موزیلا | اس‌ای‌پی | وییم |
مـایـکـروسـافـت
22 مهر، شرکت مایکروسافت (Microsoft)، مجموعهاصلاحیههای امنیتی ماهانه خود را برای ماه میلادی اکتبر 2025 منتشر کرد. اصلاحیه‌های مذکور، 172 آسیب‌پذیری را که 6 مورد آنها، روز-صفر گزارش شده در محصولات مختلف این شرکت ترمیم می‌کنند.
مجموعهاصلاحیههای ماه اکتبر، انواع مختلفی از آسیب‌پذیری‌ها از جمله موارد زیر را در محصولات مایکروسافت ترمیم می‌کنند:
- Remote Code Execution – به اختصار RCE (اجرای از راه دور کد)
- Elevation of Privilege (افزایش سطح دسترسی)
- Information Disclosure (افشای اطلاعات)
- Denial of Service – به اختصار DoS (منع سرویس)
- Security Feature Bypass (عبور از سد سازوکارهای امنیتی)
- Spoofing (جعل)
Elevation of Privilege و RCE، به ترتیب با 80 و 31 مورد، بیشترین سهم از انواع آسیب‌پذیری‌های این ماه را به خود اختصاص داده‌اند.
8 مورد از آسیب‌پذیری‌های وصله‌شده نیز “بحرانی” (Critical) گزارش شده‌اند. در درجه‌بندی شرکت مایکروسافت، نقاط ضعفی که سوءاستفاده از آنها بدون نیاز به دخالت و اقدام کاربر باشد، “بحرانی” تلقی شده می‌شوند.
همان‌طور که اشاره شد 6 مورد از آسیب‌پذیری‌های وصله‌شده، از نوع “روز-صفر” (Zero-day) اعلام شده‌اند. مایکروسافت، آن دسته از آسیب‌پذیری‌ها را روز-صفر می‌داند که قبل از عرضه اصلاحیه و به‌روزرسانی امنیتی برای آنها، یا موردسوءاستفاده مهاجمان قرار گرفته‌اند یا جزییات آنها به‌طور عمومی افشا شده باشد.
سه آسیب‌پذیری روز صفر بهره‌برداری‌شده توسط مهاجمان عبارتند از:
- CVE-2025-24990؛ آسیب‌پذیری ارتقای سطح دسترسی در درایور Agere Modem سیستم‌عامل Windows: مایکروسافت درایور مودم Agere را که برای کسب دسترسی مدیریتی (Administrator) مورد سوءاستفاده قرار می‌گرفت، حذف کرده است. مایکروسافت توضیح داده که از وجود آسیب‌پذیری‌هایی در درایور ثالث Agere Modem که به‌صورت بومی همراه سیستم‌های عامل پشتیبانی‌شده Windows ارائه می‌شود، آگاه است. در اطلاعیه مایکروسافت آمده که درایور sys در به‌روزرسانی تجمیعی اکتبر حذف شده است. مایکروسافت هشدار می‌دهد که حذف این درایور باعث از کار افتادن سخت‌افزارهای مودم فکس مرتبط می‌شود.
- CVE-2025-59230؛ آسیب‌پذیری ارتقای سطح دسترسی در Windows Remote Access Connection Manager: مایکروسافت نقصی را در سرویس Windows Remote Access Connection Manager برطرف کرده که برای دستیابی به سطح دسترسی SYSTEM مورد بهره‌برداری قرار گرفته است. کنترل دسترسی نادرست در Windows Remote Access Connection Manager به مهاجم اجازه می‌دهد به‌صورت محلی سطح دسترسی خود را ارتقا دهد. مایکروسافت می‌گوید مهاجم برای سوءاستفاده از این آسیب‌پذیری باید میزان قابل‌توجهی تلاش و آماده‌سازی انجام دهد.
- CVE-2025-47827؛ دور زدن Secure Boot در IGEL OS پیش از نسخه 11: مایکروسافت وصله‌هایی برای برطرف‌سازی دور زدن Secure Boot در سیستم‌عامل IGEL OS اضافه کرده است. در IGEL OS قبل از نسخه 11، مکانیزم Secure Boot قابل دور زدن است، زیرا ماژول igel-flash-driver امضای رمزنگاری را به‌درستی بررسی نمی‌کند. در نتیجه، یک سیستم‌فایل ریشه ساختگی می‌تواند از یک تصویر SquashFS تأیید‌نشده بارگذاری شود. مایکروسافت توضیح می‌دهد به‌روزرسانی‌های Windows شامل اصلاحات IGEL OS برای رفع این نقص است.
فهرست آسیب‌پذیری‌هایی که با وجود افشای جزییاتشان، تاکنون هیچ موردی از سوءاستفاده از آنها گزارش نشده است نیز به شرح زیر است:
- CVE-2025-0033؛ خرابی RMP در حین مقداردهی اولیه SNP در پردازنده‌های AMD: مایکروسافت در حال کار روی وصله‌ای برای نقصی در پردازنده‌های AMD EPYC است که می‌تواند تمامیت حافظه را تحت‌تأثیر قرار دهد. این آسیب‌پذیری شامل شرایط رقابتی (Race Condition) در زمان مقداردهی جدول Reverse Map Table – به اختصار RMP – است که ممکن است به هایپروایزر مخرب یا در معرض خطر اجازه دهد قبل از قفل شدن، ورودی‌های RMP را تغییر دهد. مایکروسافت تأکید می‌کند که این مشکل به افشای داده یا کلیدهای رمزنگاری منجر نمی‌شود و فقط در صورت کنترل سطح بالا بر هایپروایزر قابل بهره‌برداری است. در پلتفرم Azure Confidential Computing، لایه‌های امنیتی مختلفی مانند جداسازی، بررسی تمامیت، و نظارت مداوم وجود دارد تا از هرگونه دستکاری غیرمجاز حافظه جلوگیری شود. با این حال، وصله امنیتی برای خوشه‌های مبتنی بر AMD در Azure هنوز کامل نشده و کاربران از طریق اعلان‌های Azure Service Health مطلع خواهند شد.
- CVE-2025-24052؛ آسیب‌پذیری ارتقای سطح دسترسی در درایور Agere Modem سیستم‌عامل Windows: این نقص مشابه CVE-2025-24990 است که پیش‌تر توضیح داده شد و به‌صورت عمومی نیز فاش شده است. مایکروسافت یادآور می‌شود که این آسیب‌پذیری تمام نسخه‌های Windows را تحت‌تأثیر قرار می‌دهد و برای بهره‌برداری از آن نیازی به استفاده فعال از مودم نیست. تمام نسخه‌های پشتیبانی‌شده Windows می‌توانند در اثر بهره‌برداری موفق از این آسیب‌پذیری آسیب ببینند، حتی اگر مودم به‌صورت فعال مورد استفاده قرار نگیرد.
- CVE-2025-2884؛ آسیب‌پذیری Out-of-Bounds Read در پیاده‌سازی مرجع TCG TPM 2.0: مایکروسافت نقصی را در پیاده‌سازی مرجع TCG TPM 2.0 برطرف کرده است که می‌توانست منجر به افشای اطلاعات یا ایجاد اختلال در عملکرد TPM شود. این آسیب‌پذیری مربوط به تابع کمکی CryptHmacSign در پیاده‌سازی مرجع TCG TPM 2.0 است که به دلیل نبود بررسی کافی در الگوریتم امضا، به خواندن خارج از محدوده (Out-of-Bounds Read) منجر می‌شود.
لازم به ذکر است مایکروسافت رسماً اعلام کرده است که پشتیبانی از سیستم‌عامل Windows 10 در تاریخ ۲۲ مهر ۱۴۰۴ (۱۴ اکتبر ۲۰۲۵) به پایان رسیده است. این بدان معناست که پس از این تاریخ، کاربران Windows 10، دیگر به‌روزرسانی‌های امنیتی، رفع اشکال‌ها و آپدیت‌های جدید ویژگی‌ها را دریافت نخواهند کرد. مایکروسافت در بیانیه خود تأکید کرده که توقف پشتیبانی به معنای پایان دریافت وصله‌های امنیتی حیاتی است. این شرکت به کاربران توصیه کرده است برای حفظ امنیت و پایداری سیستم خود، در اسرع وقت نسبت به ارتقا به Windows 11 اقدام کنند. اطلاعیه مایکروسافت در لینک زیر قابل مطالعه است:
فهرست کامل آسیب‌پذیری‌های ترمیم‌شده / به‌روزشده توسط مجموعهاصلاحیههای اکتبر 2025 مایکروسافت در لینک زیر قابل‌مطالعه است:
https://afta.gov.ir/fa-IR/Portal/4927/news/view/14608/2256
سـیـسـکـو
شرکت سیسکو (Cisco Systems)، در مهر ماه، 29 آسیب‌پذیری را در محصولات مختلف خود ترمیم یا جزییات توصیه‌نامه آنها را به‌روزرسانی کرد. شدت 2 مورد از این آسیب‌پذیری‌ها، “بحرانی” و 11 مورد از آنها “بالا” (High) گزارش شده است.
همچنین در ماهی که گذشت، برخی منابع خبر دادند که مهاجمان با سوءاستفاده از آسیب‌پذیری CVE-2025-20352 در سیستم‌های عامل Cisco IOS و IOS XE، برخی از مدل‌های 9400، 9300 و 3750G از تجهیرات سیسکو را هدف قرار داده و از طریق آنها به سیستم‌های تحت Linux قدیمی بدون حفاظت امنیتی نفوذ کرده‌اند.
اطلاعات بیشتر در خصوص به‌روزرسانی‌ها و اصلاحیه‌های سیسکو در نشانی زیر قابل دسترس می‌باشد:
https://tools.cisco.com/security/center/publicationListing.x
سـیـتـریـکـس
در ماهی که گذشت شرکت سیتریکس (Citrix)، اقدام به انتشار توصیه‌نامه در خصوص دو آسیب‌پذیری با شدت “بالا”، با شناسه‌های CVE-2025-58147 و CVE-2025-58148 در XenServer نمود. سوءاستفاده از آسیب‌پذیری‌های مذکور، امکان آلوده‌سازی سرور میزبان (Host) از روی ماشین مجازی را فراهم می‌کند. جزییات بیشتر در لینک زیر قابل‌مطالعه است:
https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX695405
گـوگـل
شرکت گوگل (Google)، در مهر ماه، در 6 نوبت، نسخه جدید برای مرورگر Chrome منتشر کرد. این نسخه‌های جدید، در مجموع، 26 آسیب‌پذیری را که شدت 6 مورد از آنها “بالا” گزارش شده در این مرورگر برطرف کرده‌اند. توصیه‌نامه‌های گوگل در لینک زیر قابل‌دسترس است:
https://chromereleases.googleblog.com
مـوزیـلا
در مهر، شرکت موزیلا (Mozilla)، چندین ضعف امنیتی را در مرورگر Firefox و نرم‌افزار مدیریت ایمیل Thunderbird برطرف کرد. شدت برخی از این باگ‌های امنیتی، “بالا” گزارش شده است. اطلاعات بیشتر در لینک زیر:
https://www.mozilla.org/en-US/security/advisories/
اس‌‌ای‌پـی
شرکت اس‌ای‌پی (SAP) هم در مهر ماه، 17 توصیه‌نامه امنیتی در خصوص محصولات مختلف خود منتشر کرد. اولویت 4 مورد از آنها “حیاتی” و 2 مورد نیز “بالا” اعلام شده است. جزییات آسیب‌پذیری‌های بررسی‌شده در توصیه‌نامه‌های مذکور در لینک زیر قابل دریافت است:
https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2025.html
ویـیـم
شرکت Veeam (وییم)، در به‌روزرسانی اخیر Veeam Backup & Replication (نسخه 12.3.2.4165)، سه آسیب‌پذیری بحرانی را برطرف کرده است. دو مورد نخست با شناسه‌های CVE-2025-48983 و CVE-2025-48984 به مهاجم دارای حساب کاربری دامنه، امکان اجرای کد از راه دور (RCE) را می‌دهند. اولی سرویس Mount را هدف قرار می‌دهد و دومی مستقیماً بر سرور پشتیبان اثر دارد. بهره‌برداری از این ضعف‌ها می‌تواند کنترل کامل سیستم‌های پشتیبان را در اختیار مهاجم قرار دهد و خطر نفوذ، باج‌افزار و تخریب داده‌های حیاتی را به‌شدت افزایش دهد.
سومین مورد، CVE-2025-48982، در Veeam Agent برای Windows موجب افزایش امتیاز محلی (LPE) می‌شود و زمانی فعال می‌گردد که مدیر سیستم فایلی آلوده را هنگام بازیابی باز کند. هرچند نیازمند تعامل کاربر است، اما می‌تواند به دسترسی مدیریتی کامل منجر شود.
اطلاعات بیشتر در لینک زیر قابل‌دسترس است:
آسیب‌پذیری بحرانی در sudo
بتازگی اعلام شد که یک نقص امنیتی بحرانی با شناسه CVE-2025-32463 در sudo کشف و عملاً در حملات واقعی مورد بهره‌برداری قرار گرفته است.
این آسیب‌پذیری به مهاجم محلی اجازه می‌دهد با سوءاستفاده از گزینه -R (–chroot) دستورات دلخواه را با سطح دسترسی root بر روی ماشین Linux اجرا کند؛ حتی اگر مهاجم در فهرست افراد sudoers نباشد.
آسیب‌پذیری CVE-2025-32463، نسخه‌های 1.9.14 تا 1.9.17 از sudo را تحت‌تأثیر قرار می‌دهد و در مقیاس CVSS، امتیاز بحرانی 9.3 از 10 را دریافت کرده است. این مشکل از زمان انتشار نسخه 1.9.14 در ژوئن ۲۰۲۳ وجود داشته، اما افشای عمومی و توزیع PoC در تابستان امسال باعث افزایش ریسک شده است.
جزییات بیشتر در خصوص آسیب‌پذیری CVE-2025-32463 در لینک زیر قابل‌مطالعه است:
https://www.sudo.ws/security/advisories/chroot_bug
آسـیب‌پـذیـری‌هـای در حـال سـوءاسـتفـاده
در مهر 1404، مرکز CISA ایالات متحده، ضعف‌های امنیتی زیر را به “فهرست آسیب‌پذیری‌های در حال سوءاستفاده” یا همان
Known Exploited Vulnerabilities Catalog اضافه کرد:
|
CVE-2022-48503 |
Apple Multiple Products Unspecified Vulnerability |
|
CVE-2025-2746 |
Kentico Xperience CMS Authentication Bypass Using an Alternate Path or Channel Vulnerability |
|
CVE-2025-2747 |
Kentico Xperience CMS Authentication Bypass Using an Alternate Path or Channel Vulnerability |
|
CVE-2025-33073 |
Microsoft Windows SMB Client Improper Access Control Vulnerability |
|
CVE-2025-61884 |
Oracle E-Business Suite Server-Side Request Forgery (SSRF) Vulnerability |
|
CVE-2025-54253 |
Adobe Experience Manager Forms Code Execution Vulnerability |
|
CVE-2025-47827 |
IGEL OS Use of a Key Past its Expiration Date Vulnerability |
|
CVE-2025-24990 |
Microsoft Windows Untrusted Pointer Dereference Vulnerability |
|
CVE-2025-59230 |
Microsoft Windows Improper Access Control Vulnerability |
|
CVE-2025-6264 |
Rapid7 Velociraptor Incorrect Default Permissions Vulnerability |
|
CVE-2016-7836 |
SKYSEA Client View Improper Authentication Vulnerability |
|
CVE-2021-43798 |
Grafana Path Traversal Vulnerability |
|
CVE-2025-27915 |
Synacor Zimbra Collaboration Suite (ZCS) Cross-site Scripting Vulnerability |
|
CVE-2021-22555 |
Linux Kernel Heap Out-of-Bounds Write Vulnerability |
|
CVE-2010-3962 |
Microsoft Internet Explorer Uninitialized Memory Corruption Vulnerability |
|
CVE-2021-43226 |
Microsoft Windows Privilege Escalation Vulnerability |
|
CVE-2013-3918 |
Microsoft Windows Out-of-Bounds Write Vulnerability |
|
CVE-2011-3402 |
Microsoft Windows Remote Code Execution Vulnerability |
|
CVE-2010-3765 |
Mozilla Multiple Products Remote Code Execution Vulnerability |
|
CVE-2025-61882 |
Oracle E-Business Suite Unspecified Vulnerability |
|
CVE-2014-6278 |
GNU Bash OS Command Injection Vulnerability |
|
CVE-2017-1000353 |
Jenkins Remote Code Execution Vulnerability |
|
CVE-2015-7755 |
Juniper ScreenOS Improper Authentication Vulnerability |
|
CVE-2025-21043 |
Samsung Mobile Devices Out-of-Bounds Write Vulnerability |
|
CVE-2025-4008 |
Smartbedded Meteobridge Command Injection Vulnerability |
|
CVE-2025-32463 |
Sudo Inclusion of Functionality from Untrusted Control Sphere Vulnerability |
|
CVE-2025-59689 |
Libraesva Email Security Gateway Command Injection Vulnerability |
|
CVE-2025-10035 |
Fortra GoAnywhere MFT Deserialization of Untrusted Data Vulnerability |
|
CVE-2025-20352 |
Cisco IOS and IOS XE Software SNMP Denial of Service and Remote Code Execution Vulnerability |
|
CVE-2021-21311 |
Adminer Server-Side Request Forgery Vulnerability |
|
CVE-2025-20362 |
Cisco Secure Firewall Adaptive Security (ASA) Appliance and Secure Firewall Threat Defense (FTD) Missing Authorization Vulnerability |
|
CVE-2025-20333 |
Cisco Secure Firewall Adaptive Security Appliance (ASA) and Secure Firewall Threat Defense (FTD) Buffer Overflow Vulnerability |
|
CVE-2025-10585 |
Google Chromium V8 Type Confusion Vulnerability |
فهرست کامل Known Exploited Vulnerabilities Catalog در لینک زیر قابل دریافت است:
https://www.cisa.gov/known-exploited-vulnerabilities-catalog