Обнаружена уязвимость в WDS: PXE-сервер можно вывести из строя удалённо

Обнаружена уязвимость в WDS: PXE-сервер можно вывести из строя удалённо

Обнаружена уязвимость в WDS: PXE-сервер можно вывести из строя удалённо

Если вы всё ещё используете Windows Deployment Services (WDS) для раздачи образов Windows по сети, пора всерьёз задуматься. Специалист обнаружил серьёзную уязвимость, которая позволяет удалённо и без аутентификации вывести из строя сервер буквально за несколько минут.

Да-да, без логинов, паролей и вообще какого-либо взаимодействия с пользователем — просто взял и положил.

WDS использует старый добрый протокол TFTP по UDP (порт 69) для раздачи установочных образов Windows. При подключении клиента сервер создаёт объект CTftpSession.

Проблема в том, что никакого лимита на число сессий не предусмотрено. В результате злоумышленник может подделывать IP-адреса и порты, рассылать фальшивые UDP-пакеты — и сервер начинает захлёбываться в собственных объектах.

«Ключевая проблема в том, что EndpointSessionMapEntry не накладывает ограничений на число сессий», — говорится в техническом отчёте. — «Атакующий может подделывать IP-адреса и номера портов, многократно создавая новые сессии, пока ресурсы системы не будут исчерпаны».

На тестовом сервере с Windows Server Insider Preview и 8 ГБ оперативной памяти исследователю Чжиниану Пэну удалось полностью обрушить систему за 7 минут — исключительно с помощью случайных UDP-пакетов с поддельными исходными адресами.

Это классическая zero-click DoS-атака — никаких действий со стороны пользователя не требуется. Просто поток UDP-трафика, и PXE-инфраструктура, через которую разворачиваются Windows-образы, оказывается парализованной.

Что ответил Microsoft? Пэн сообщил об уязвимости в Microsoft 8 февраля 2025 года. 4 марта компания подтвердила наличие бага, а 23 апреля… отказалась его исправлять. По официальной позиции Microsoft, проблема «не соответствует критериям для выпуска патча».

Пэн не скрывает разочарования:

«Мы считаем, что это важная уязвимость, которая подпадает под стандарт SDL, и нам было очень неприятно общаться с Microsoft по этому поводу», — написал он.

Тем не менее Microsoft патч выпускать не планирует, поэтому Пэн даёт однозначную рекомендацию:

«Чтобы защитить PXE-сеть от этой угрозы, не используйте Windows Deployment Services».

Альтернативы — сторонние PXE-решения на базе Linux, кастомные сборки или переход к другим способам развёртывания.

Почти 40 млрд руб. на VK Видео: сколько стоит национальная видеоплатформа

Минцифры в 2025 году направило 39,5 млрд рублей на создание и развитие национальной видеоплатформы. Ещё более 4 млрд рублей ушло на цели многофункционального сервиса обмена информацией.

Обе суммы, как следует из отчёта об исполнении федерального бюджета, были перечислены в уставный капитал компании «Единое видео», связанной с VK. Информацию приводит «КоммерсантЪ»

Разницу в объёмах финансирования источники объясняют тем, что видеоплатформа технически сложнее. В её составе есть, например, системы управления доставкой контента.

В VK подтвердили, что субсидии направлены на развитие «VK Видео». Именно этот сервис планируют позиционировать как национальную видеоплатформу.

По данным Mediascope, в январе 2026 года суточная аудитория «VK Видео» достигла 42,2 млн человек, а месячная — 82,8 млн. Для сравнения, месячная аудитория YouTube составила 65,9 млн, а Rutube — 47,7 млн.

Так что у национальной видеоплатформы теперь есть не только статус, но и серьёзная бюджетная подпитка. Осталось главное — чтобы пользователи приходили туда не только потому, что так надо, а потому что там действительно удобно смотреть видео.

RSS: Новости на портале Anti-Malware.ru