Oruga

O problema está relacionado a uma vulnerabilidade de confusão de tipos no Microsoft Scripting Engine, que permite que um atacante não autorizado execute código através da rede. Isso pode ser conseguido explorando a vulnerabilidade quando um usuário visita uma página da web maliciosa, particularmente no Microsoft Edge ou no modo Internet Explorer. A vulnerabilidade tem sido ativamente explorada na natureza.

Existe uma falha na Pilha de Atualização do Windows relacionada à resolução inadequada de links antes do acesso a arquivos. A exploração bem-sucedida deste problema, identificado como CVE-2025-21204, permite que um atacante com baixos privilégios eleve suas permissões e potencialmente obtenha acesso em nível de SYSTEM. A vulnerabilidade origina-se do tratamento incorreto de links simbólicos pela Pilha de Atualização do Windows em sistemas não corrigidos, permitindo que atacantes manipulem o acesso a arquivos. Um pesquisador descobriu que até mesmo usuários não administradores poderiam explorar este problema para bloquear atualizações do Windows criando um ponto de junção entre C:inetpub e qualquer arquivo do sistema. A Microsoft criou a pasta C:inetpub como parte de uma atualização de segurança para mitigar esta vulnerabilidade, e os usuários são aconselhados a não excluí-la. A criação desta pasta foi observada mesmo em sistemas sem os Serviços de Informação da Internet (IIS) instalados. Um exploit de prova de conceito foi publicado.

Existe um problema no driver Windows Common Log File System (CLFS) onde a memória é utilizada após ter sido liberada. Esta falha permite que um invasor local autorizado eleve seus privilégios para o nível SYSTEM. O problema é causado por uma condição de corrida (race condition) entre os manipuladores `IRP MJ CLEANUP` e `IRP MJ CLOSE`, envolvendo o ponteiro `FsContext2`. A exploração no mundo real foi observada por operadores de ransomware, incluindo o grupo RansomEXX e atores associados ao grupo Storm-2460. Nessas tentativas, um backdoor modular residente em memória chamado PipeMagic foi implantado. A cadeia de execução envolveu o uso do `certutil` para baixar um payload e do `MSBuild` para descriptografá-lo e executá-lo na memória. Os invasores utilizaram a função `NtQuerySystemInformation` para obter endereços do kernel e a função `RtlSetAllBits` dentro do kernel para habilitar todos os privilégios do processo ao corromper a estrutura `EPROCESS`. Para interagir com o driver `clfs.sys` vulnerável, os invasores criaram um arquivo específico em `C:ProgramDataSkyPdfPDUDrv.blf`. Após a elevação de privilégios, o payload foi injetado no `winlogon.exe`, `procdump.exe` e `dllhost.exe` para roubar credenciais da memória do processo LSASS e criptografar arquivos.

O problema está relacionado a um estouro de inteiro ou wraparound no Driver Fast FAT do Windows, o que permite que um atacante não autorizado execute código localmente.

Nome do Software Vulnerável e Versões Afetadas: Serviço de Telefonia do Windows (versões afetadas não especificadas) Descrição: A falha permite que atacantes remotos executem código arbitrário e afetem o sistema. Trata-se de uma vulnerabilidade de execução remota de código no Serviço de Telefonia do Windows. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Nome do Software Vulnerável e Versões Afetadas: Microsoft Message Queuing (MSMQ) (versões afetadas não especificadas) Descrição: O problema está relacionado a um consumo não controlado de recursos no Microsoft Message Queuing (MSMQ) em sistemas operacionais Microsoft Windows. Isso pode ser explorado por um atacante remoto para causar uma negação de serviço. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Um estouro de buffer baseado em heap existe no Windows Hyper-V NT Kernel Integration Virtualization Service Provider (VSP), especificamente no driver `vkrnlintvsp.sys`. Este problema ocorre no pool paginado de memória dinâmica e pode ser desencadeado por uma sobreposição na entrada do buffer I/O Ring, concedendo capacidades de leitura e gravação arbitrárias no kernel do Windows. A exploração bem-sucedida permite que um invasor eleve seus privilégios para o nível SYSTEM. Este problema foi explorado ativamente.

O problema está relacionado a uma vulnerabilidade de memória do tipo use-after-free no serviço Windows Line Printer Daemon (LPD). Esta vulnerabilidade pode ser explorada por um atacante remoto para executar código arbitrário.

O problema diz respeito a uma vulnerabilidade de elevação de privilégios no Microsoft Edge. Essa vulnerabilidade pode permitir que um invasor eleve seus privilégios, levando potencialmente a ações não autorizadas no sistema, exposição de informações confidenciais e comprometimento do sistema. Não são fornecidos detalhes específicos sobre dispositivos afetados ou incidentes reais. Detalhes técnicos sobre a exploração não são mencionados.

Uma vulnerabilidade no Microsoft Exchange Server está relacionada a erros no gerenciamento da geração de código. A exploração dessa vulnerabilidade pode permitir que um invasor remoto execute código arbitrário. A vulnerabilidade afeta o sistema e permite que invasores remotos executem código arbitrário.