اصلاحیه‌های امنیتی خرداد 1404
در خرداد 1404، مایکروسافت، سیسکو، سیتریکس، فورتی‌نت، گوگل، موزیلا و اس‌ای‌پی اقدام به عرضه به‌روزرسانی برای ترمیم آسیب‌پذیری‌های امنیتی در برخی محصولات خود کردند.
در این گزارش که با همکاری شرکت مهندسی شبکه گستر و مرکز مدیریت راهبردی افتای ریاست جمهوری تهیه شده به برخی از بااهمیت‌ترین اصلاحیه‌های فروردین ماه پرداخته شده است.
| مایکروسافت | سیسکو | سیتریکس | فورتی‌نت |
| گوگل | موزیلا | اس‌ای‌پی |
مایکروسافت
20 خرداد، شرکت مایکروسافت (Microsoft)، مجموعهاصلاحیههای امنیتی ماهانه خود را برای ماه میلادی ژوئن 2025 منتشر کرد. اصلاحیه‌های مذکور، 67 آسیب‌پذیری را که 2 مورد آنها، روز-صفر گزارش شده‌اند در محصولات مختلف این شرکت ترمیم می‌کنند.
نکته قابل توجه این که حداقل یکی از این آسیب‌پذیری‌های ترمیم‌شده، از مدتی پیش، موردسوءاستفاده مهاجمان قرار گرفته‌اند.
مجموعهاصلاحیههای ماه ژوئن، انواع مختلفی از آسیب‌پذیری‌ها از جمله موارد زیر را در محصولات مایکروسافت ترمیم می‌کنند:
- Remote Code Execution – به اختصار RCE (اجرای از راه دور کد)
- Elevation of Privilege (افزایش سطح دسترسی)
- Information Disclosure (افشای اطلاعات)
- Denial of Service – به اختصار DoS (منع سرویس)
- Security Feature Bypass (دور زدن سازوکارهای امنیتی)
- Spoofing (جعل)
RCE و Elevation of Privilege، به ترتیب با 25 و 13 مورد، بیشترین سهم از انواع آسیب‌پذیری‌های این ماه را به خود اختصاص داده‌اند.
9 مورد از آسیب‌پذیری‌های وصله‌شده، “بحرانی” (Critical) گزارش شده‌اند. شدت سایر آسیب‌پذیری‌ها نیز “زیاد” (Important) اعلام شده است. در درجه‌بندی شرکت مایکروسافت، نقاط ضعفی که سوءاستفاده از آنها بدون نیاز به دخالت و اقدام کاربر باشد، “بحرانی” تلقی شده و اصلاحیه‌هایی که این نوع نقاط ضعف را ترمیم می‌کنند، بالاترین درجه حساسیت یا “بحرانی” را دریافت می‌نمایند. نقاط ضعفی که سوءاستفاده موفق از آنها نیازمند فریب کاربر به انجام کاری باشد یا نیازمند دسترسی فیزیکی به دستگاه هدف باشد، توسط اصلاحیه‌هایی با درجه حساسیت “زیاد” برطرف و ترمیم می‌گردند.
همان‌طور که اشاره شد 2 مورد از آسیب‌پذیری‌های وصله‌شده، از نوع “روز-صفر” (Zero-day) اعلام شده‌اند. مایکروسافت، آن دسته از آسیب‌پذیری‌ها را روز-صفر می‌داند که قبل از عرضه اصلاحیه و به‌روزرسانی امنیتی برای آنها، یا موردسوءاستفاده مهاجمان قرار گرفته‌اند یا جزییات آنها به‌طور عمومی افشا شده باشد.
از مجموع 2 آسیب‌پذیری روز-صفر این ماه، ضعف امنیتی CVE-2025-33053 از قبل توسط مهاجمان اکسپلویت شده است. این آسیب‌پذیری، ضعفی از نوع RCE است که افزونه Web Distributed Authoring and Versioning – به اختصار WEBDAV – از آن متأثر می‌شود. سوءاستفاده موفق از CVE-2025-33053 به مهاجم اجازه می‌دهد تا کد دلخواه خود را به‌صورت از راه دور بر روی سیستم آسیب‌پذیر اجرا کند. در اطلاعیه مایکروسافت آمده است که برای بهره‌برداری از این آسیب‌پذیری، کاربر باید روی یک URL ویژه WebDAV که به‌طور خاص طراحی شده، کلیک کند. گفته می‌شود آسیب‌پذیری مذکور در حملات روز-صفر یک گروه APT اکسپلویت شده است.
CVE-2025-33073 دیگر آسیب‌پذیری روز-صفر این ماه است که اگر چه جزییات آن به‌صورت عمومی افشا شده اما موردی دال بر سوءاستفاده مهاجمان از آن گزارش نشده است. پودمان SMB در سیستم عامل Windows از این آسیب‌پذیری متأثر می‌شود. در اطلاعیه مایکروسافت آمده که کنترل دسترسی نادرست در پودمان SMB در Windows، به مهاجمی که از قبل مجاز شناخته شده، اجازه می‌دهد تا سطح دسترسی خود را افزایش دهد. همچنین اشاره شده که برای بهره‌برداری از این آسیب‌پذیری، نفوذگر می‌تواند یک اسکریپت مخرب خاص را اجرا کند تا سیستم قربانی را وادار به اتصال به سیستم مهاجم از طریق SMB کرده و در آن احراز هویت کند. این فرآیند می‌تواند در نهایت منجر به افزایش سطح دسترسی شود.
فهرست کامل آسیب‌پذیری‌های ترمیم‌شده توسط مجموعهاصلاحیههای ژوئن 2025 مایکروسافت در لینک زیر قابل مطالعه است:
https://afta.gov.ir/fa-IR/Portal/4927/news/view/14608/2232/
سیسکو
شرکت سیسکو (Cisco Systems)، در خرداد ماه، 26 آسیب‌پذیری را در محصولات مختلف خود ترمیم یا جزییات توصیه‌نامه آنها را به‌روزرسانی کرد. شدت 6 مورد از این آسیب‌پذیری‌ها، “بحرانی” و 9 مورد از آنها “بالا” (High) گزارش شده است. اطلاعات بیشتر در خصوص به‌روزرسانی‌ها و اصلاحیه‌های سیسکو در نشانی زیر قابل دسترس می‌باشد:
https://tools.cisco.com/security/center/publicationListing.x
سیتریکس
درماهی که گذشت آسیب‌پذیری‌های زیر در محصولات شرکت سیتریکس (Citrix) خبرساز شدند:
- CVE‑2025‑5777 که به CitrixBleed 2 معروف شده، ضعفی “بحرانی” با شدت CVSS 9.3 است که محصولات NetScaler ADC و Gateway از آن متأثر می‌شوند. این آسیب‌پذیری از نوع Out‑of‑bounds Read است و مهاجم را قادر می‌سازد تا بدون احراز هویت، توکن‌های نشست را از حافظه بخواند، MFA را دور بزند و نشست‌های کاربران را سرقت کند. برخی منابع از سوءاستفاده اولیه مهاجمان از CVE‑2025‑5777 خبر داده‌اند.
- CVE‑2025‑6543 نیز یک آسیب‌پذیری “بحرانی” دیگر – با CVSS 9.2 – در همان خانواده دستگاه‌هاست که امکان اجرای حملات DoS را برای مهاجم ممکن می‌کند. گزارش شده این ضعف امنیتی به‌صورت Zero-day در برابر دستگاه‌های آسیب‌پذیر مورد بهره‌برداری قرار گرفته است.
فورتی‌نت
در سومین ماه 1404، شرکت فورتی‌نت (Fortinet)، اقدام به ترمیم 4 آسیب‌پذیری در FortiOS کرد. اطلاعات بیشتر در لینک زیر قابل مطالعه است:
https://www.fortiguard.com/psirt
گوگل
شرکت گوگل (Google)، در خرداد ماه، در سه نوبت اقدام به انتشار نسخه جدید برای مرورگر Chrome کرد. این نسخه‌های جدید، در مجموع، 24 آسیب‌پذیری را در این مرورگر برطرف کرده‌اند. حداقل یکی از این آسیب‌پذیری‌ها – با شناسه CVE-2025-5419 – از مدتی پیش موردسوءاستفاده مهاجمان قرار گرفته است. توصیه‌نامه‌های گوگل در خصوص نسخه‌های جدید مذکور در لینک‌های زیر قابل‌مطالعه است:
https://chromereleases.googleblog.com/2025/05/stable-channel-update-for-desktop_27.html
https://chromereleases.googleblog.com/2025/06/stable-channel-update-for-desktop.html
https://chromereleases.googleblog.com/2025/06/stable-channel-update-for-desktop_24.html
موزیلا
در خرداد، شرکت موزیلا (Mozilla)، چندین ضعف امنیتی را در مرورگر Firefox و نرم‌افزار مدیریت ایمیل Thunderbird برطرف کرد. شدت برخی از این باگ‌های امنیتی، “حیاتی” یا “بالا” گزارش شده است. اطلاعات بیشتر در لینک زیر:
https://www.mozilla.org/en-US/security/advisories/
اس‌ای‌پی
شرکت اس‌ای‌پی (SAP) هم در خرداد، 14 توصیه‌نامه امنیتی در خصوص محصولات مختلف خود که اولویت یکی از آنها “حیاتی” و تعدادی نیز “بالا” اعلام شده منتشر کرد. جزییات آسیب‌پذیری‌های بررسی‌شده در توصیه‌نامه‌های مذکور در لینک زیر قابل دریافت است:
https://support.sap.com/en/my-support/knowledge-base/security-notes-news/june-2025.html
آسـیب‌پـذیـری‌هـای در حـال سـوءاسـتفـاده
در خرداد 1404، مرکز CISA ایالات متحده، ضعف‌های امنیتی زیر را به “فهرست آسیب‌پذیری‌های در حال سوءاستفاده” یا همان
Known Exploited Vulnerabilities Catalog اضافه کرد:
CVE-2019-6693 Fortinet FortiOS Use of Hard-Coded Credentials Vulnerability
CVE-2024-0769 D-Link DIR-859 Router Path Traversal Vulnerability
CVE-2024-54085 AMI MegaRAC SPx Authentication Bypass by Spoofing Vulnerability
CVE-2023-0386 Linux Kernel Improper Ownership Management Vulnerability
CVE-2023-33538 TP-Link Multiple Routers Command Injection Vulnerability
CVE-2025-43200 Apple Multiple Products Unspecified Vulnerability
CVE-2025-33053 Microsoft Windows External Control of File Name or Path Vulnerability
CVE-2025-24016 Wazuh Server Deserialization of Untrusted Data Vulnerability
CVE-2024-42009 RoundCube Webmail Cross-Site Scripting Vulnerability
CVE-2025-32433 Erlang Erlang/OTP SSH Server Missing Authentication for Critical Function Vulnerability
CVE-2025-5419 Google Chromium V8 Out-of-Bounds Read and Write Vulnerability
CVE-2025-21479 Qualcomm Multiple Chipsets Incorrect Authorization Vulnerability
CVE-2025-21480 Qualcomm Multiple Chipsets Incorrect Authorization Vulnerability
CVE-2025-27038 Qualcomm Multiple Chipsets Use-After-Free Vulnerability
CVE-2021-32030 ASUS Routers Improper Authentication Vulnerability
CVE-2025-3935 ConnectWise ScreenConnect Improper Authentication Vulnerability
CVE-2025-35939 Craft CMS External Control of Assumed-Immutable Web Parameter Vulnerability
CVE-2024-56145 Craft CMS Code Injection Vulnerability
CVE-2023-39780 ASUS RT-AX55 Routers OS Command Injection Vulnerability
CVE-2025-4632 Samsung MagicINFO 9 Server Path Traversal Vulnerability
فهرست کامل Known Exploited Vulnerabilities Catalog در لینک زیر قابل دریافت است:
https://www.cisa.gov/known-exploited-vulnerabilities-catalog
همچنین هشدارهای امنیتی منتشرشده از سوی CISA در خصوص برخی سامانه‌های کنترل صنعتی (ICS) در لینک زیر قابل مطالعه است:
