Яндекс увеличил призовой фонд bug bounty в 2,5 раза — до 100 млн рублей

Вчера вечером Microsoft выпустила августовский пакет патчей в рамках Patch Tuesday. Разработчики устранили 107 уязвимостей. Среди них — одна публично раскрытая 0-day в Windows Kerberos, позволяющая повысить привилегии и получить права администратора домена.

В числе закрытых дыр — 13 «критических» уязвимостей: девять с возможностью удалённого выполнения кода, три, связанные с раскрытием информации, и одна, позволяющая повысить привилегии. Всего уязвимости распределились так:

• 44 — повышение привилегий;
• 35 — удалённое выполнение кода;
• 18 — раскрытие информации;
• 4 — отказ в обслуживании;
• 9 — подмена (spoofing).

Стоит отметить, что в подсчёт вошли только те баги, которые Microsoft устранила именно вчера. Уязвимости в Mariner, Azure и Microsoft Edge, закрытые ранее в августе, в статистику не включены.

Главная новость — закрытие 0-day CVE-2025-53779 в Windows Kerberos. Проблема связана с выходом за пределы рабочего каталога (relative path traversal) и может быть использована атакующим для повышения привилегий в сети.

Эксплуатация требует доступ к определённым атрибутам dMSA, таким как msds-groupMSAMembership и msds-ManagedAccountPrecededByLink. Уязвимость обнаружил исследователь Ювал Гордон из Akamai. Ещё в мае специалист опубликовал соответствующий технический отчёт.

Если интересно, сегодня Microsoft также выпустила накопительные обновления Windows 11 (KB5063878 и KB5063875) и Windows 10 (KB5063709), но это уже другая история — они относятся не к безопасности, а к улучшениям функциональности.