Аналитики R-Vision описали наиболее опасные уязвимости за октябрь

Аналитики R-Vision описали наиболее опасные уязвимости за октябрь По итогам октября 2025 г. эксперты R-Vision проанализировали широкий спектр уязвимостей и выделили наиболее критичные из них — с высоким уровнем риска, подтвержденной эксплуатацией и особым интересом для специалистов в области ИБ. В подборку вошли множественные уязвимости в продуктах Microsoft (включая WSUS и RasMan), Redis (RediShell), Oracle E‑Business Suite и VMware Tools. Об этом CNews сообщили представители R-Vision. CVE-2025-59287 | BDU:2025-12999: Уязвимость удаленного выполнения кода в WSUS CVSS: 9.8 | Вектор атаки: сетевой Критическая уязвимость удаленного выполнения кода (RCE) была обнаружена в службе Windows Server Update Services (WSUS) на серверах Windows Server. Атакующий может отправить специально сформированный SOAP-запрос, в котором вредоносный код передается через параметр Authorization Cookie. После расшифровки содержимое десериализуется как доверенный объект и приводит к выполнению произвольного кода с правами SYSTEM. Для атаки не требуется ни учетная запись, ни взаимодействие с пользователем системы. По данным Microsoft, уязвимость затрагивает только серверы, где активирована роль WSUS. После выхода патча 14 октября 2025 г. компания выпустила внеплановое обновление 23 октября 2025 г., так как устранение оказалось неполным. Уже 24 октября 2025 г. зафиксированы массовые сканирования сети на наличие уязвимых серверов и первые попытки компрометации. Американское агентство по кибербезопасности (CISA) включило данную CVE в каталог известных эксплуатируемых уязвимостей (KEV), рекомендовав установить обновление до 14 ноября 2025 г. По данным сервиса Shadow Server, количество открытых в интернете WSUS-серверов сократилось примерно на 80%. В России показатель снизился с 59 до 14, что подтверждает актуальность угрозы в регионе. Рекомендуется как можно скорее установить обновления безопасности, а также возможно временно заблокировать TCP-порты 8530 и 8531 на брандмауэре до обновления. CVE-2025-59230 | BDU:2025-12964: Уязвимость повышения привилегий в Windows Remote Access Connection Manager CVSS: 7.8 | Вектор атаки: локальный Уязвимость затрагивает компонент Windows Remote Access Connection, который запускается как LocalSystem в составе процесса svchost.exe. Один из экспортируемых IPC-интерфейсов обрабатывает запросы от локальных пользователей с низкими правами, что при наличии локального доступа позволяет выполнить повышение привилегий до уровня SYSTEM и поставить под угрозу конфиденциальность, целостность и доступность системы. По оценке исследователей, потенциальные векторы атаки включают модификацию реестра, внедрение DLL в процессы RasMan или перезапись файлов в каталоге RasMan для внедрения вредоносного кода. Эксплуатация возможна только при локальном доступе и может привести к полной компрометации системы. Рекомендуется немедленно установить официальные обновления безопасности на всех уязвимых системах и проверить успешность установки. Соответствующие исправления опубликованы на официальной странице вендора. CVE-2025-49844 | BDU:2025 12553: Уязвимость удаленного выполнения кода в Redis CVSS: 9.8 | Вектор атаки: сетевой Исследователи выявили ошибку использования памяти после освобождения Use-After-Free (UAF), присутствующую в исходном коде Redis около 13 лет. Уязвимость получила название RediShell и позволяет злоумышленнику отправить специально сформированный вредоносный Lua-скрипт, выйти из изолированной среды Lua и выполнить произвольный код на хосте, где запущен Redis. По умолчанию Redis поддерживает исполнение Lua-скриптов через команды EVAL и EVALSHA. В уязвимых версиях возможна ошибка UAF, что позволяет атакующему выйти за пределы песочницы. Отправка скриптов требует аутентификации, но в официальных контейнерных образах она по умолчанию отключена, что значительно увеличивает риск атак. Согласно данным команды Wiz, в интернете насчитывается около 330 тыс. активов Redis, из них около 60 тыс. не требуют аутентификации. В российском сегменте сети, согласно сервисам Shodan и Fofa, в октябре 2025 г.обнаружено порядка 3,5 тыс. и 14 тыс. доступных инстансов соответственно — большинство из которых уязвимы. Хотя публичный PoC уже доступен, фактических атак пока не подтверждено. Эксперты рекомендуют обновить Redis до версий 6.2.20, 7.2.11, 7.4.6, 8.0.4, 8.2.2 или выше, включить аутентификацию и временно ограничить возможность исполнения Lua-скриптов посредством добавления правила в ACL для блокировки команд EVAL и EVALSHA. CVE-2025-61882 | BDU:2025-12468: Уязвимость удаленного выполнения кода в Oracle E-Business Suite CVSS: 9.8 | Вектор атаки: сетевой Уязвимость в платформе Oracle E-Business Suite (OEBS) представляет собой цепочку из нескольких взаимосвязанных недостатков. Ее конечный результат – удаленное выполнение кода на целевой системе. Критичность повышается тем, что для успешной эксплуатации не требуется аутентификация на сервере. Согласно исследованию WatchTower, последовательность эксплуатации включает следующие этапы. SSRF (подделка запросов на стороне сервера) из-за некорректной работы с Java- сервлетами. CRLF-инъекция для изменения внутреннего HTTP-запроса, чтобы создать keep-alive соединение необходимое для успешной эксплуатации. Обход аутентификации с помощью path traversal. Использование уязвимости в XSL Transformation (XSLT) для удаленного выполнения кода. OEBS должна оставаться в закрытом от интернета контуре, однако в российском сегменте сети было обнаружено несколько уязвимых конечных точек OEBS в открытом доступе, принадлежащие крупным организациям. Oracle подтверждает случаи эксплуатации данной уязвимости, PoC эксплойта доступен, Google Threat Intelligence Group отмечает использование эксплойта в программе шифровальщике Cl0p. Так как Oracle E-Business Suite относится к классу ERP-систем, которые нужны для автоматизации бизнес-процессов, то ее захват атакующими может повлечь критические последствия, начиная с кражи конфиденциальной информации и заканчивая остановкой работы организации. Для устранения рекомендуется обновить Oracle E-Business Suite до версии 12.2.15 или выше. CVE-2025-41244 | BDU:2025-12421: Уязвимость повышения привилегий в VMware Tools и VMware Aria Operations CVSS: 7.8 Вектор атаки: локальный Проблема затрагивает облачные инфраструктуры, где VMware Aria Operations собирает расширенные данные с VM Linux при включенной опции credential-less service discovery. В этом режиме сбор выполняют агенты через VMware Tools / Open VM Tools и не требуются учетные данные, что повышает риск в случае неправильной конфигурации. Исследователи NVISO выяснили, что VMware Tools использует bash скрипт для поиска запущенных сервисов по паттерну (например httpd, apache). Скрипт находит соответствующие исполняемые файлы и выполняет их в контексте процесса VMware Tools для получения версий. Уязвимость (CWE-426) — отсутствие проверки расположения файла: пользователь с правами на запись и исполнение в доступной директории может разместить вредоносный исполняемый файл (например, /tmp/httpd) и запустить его в ожидающем состоянии, как отдельный процесс. Когда VMware Tools начнет сбор, он обнаружит и выполнит этот файл в контексте своего процесса с правами root. Исследование NVISO указывает на использование ошибки китайской группировкой UNC5174 еще в 2024 г. 30 октября 2025 г. CISA включило CVE в KEV. Рекомендовано обновить VMware Tools до версий 12.5.4, 13.0.5 и выше или временно отключить настройку credential-less service discovery. Как защититься? В приоритете – своевременное выявление и обновление уязвимых систем. Вендоры уже выпустили обновления безопасности, и их применение – первоочередная мера защиты. Однако в условиях многосистемной корпоративной ИТ-инфраструктуры и десятков и тысяч устройств, оперативное выявление и устранение уязвимостей требует автоматизации. По результатам одного из наших исследований, все больше компаний стремятся использовать современные решения класса Vulnerability Management, например, R-Vision VM, которые позволяют не только находить уязвимости (включая те, которые активно эксплуатируются), но и учитывать контекст инфраструктуры, корректно приоритизировать их и контролировать устранение. Процесс будет проще и быстрее, когда в такую систему встроен собственный сканер уязвимостей: не требуется интеграция с внешними решениями, данные о найденных уязвимостях сразу доступны в едином интерфейсе, а повторные проверки запускаются без дополнительных шагов. Такой подход помогает не только своевременно реагировать на угрозы, но и выстраивать устойчивую, системную работу с уязвимостями, что становится все более актуальным на фоне регулярного появления новых критичных уязвимостей.