بسته‌های مخرب npm توسعه‌دهندگان را با درهای پشتی SSH هدف قرار می‌دهند

پژوهشگران سه بسته مخرب در npm با نام‌های node-telegram-utils، node-telegram-bots-api و node-telegram-util را شناسایی کرده‌اند که برای جعل کتابخانه پرکاربرد node-telegram-bot-api جهت ساخت ربات‌های تلگرام در Node.js طراحی شده‌اند.
این بسته‌ها از تکنیکی به نام Starjacking استفاده می‌کنند که با پیوند دادن به مخزن واقعی GitHub، خود را معتبر جلوه می‌دهند.
پس از نصب، سیستم‌های لینوکسی را هدف قرار می‌دهند و دو کلید SSH را در فایل ~/.ssh/authorized_keys درج می‌کنند که به مهاجمان امکان دسترسی دائمی از راه دور می‌دهد، حتی پس از حذف بسته.
این بسته‌ها همچنین نام کاربری سیستم و آی‌پی خارجی را به یک سرور خارجی ارسال می‌کنند.

توصیه:

به‌صورت منظم بسته‌های نصب‌شده npm را ممیزی کنید.

وابستگی‌ها را با منابع رسمی اعتبارسنجی نمایید.

کلیدهای SSH غیرمجاز را حذف کنید.

CVE-2025-31324
یک آسیب‌پذیری حیاتی روز صفر است که در مؤلفه Metadata Uploader از SAP NetWeaver Visual Composer کشف شده است. این نقص به دلیل نبود بررسی‌های مجوز ایجاد شده و به مهاجمان بدون احراز هویت اجازه می‌دهد فایل‌های مخرب را در سیستم آپلود کنند. سوءاستفاده از این آسیب‌پذیری می‌تواند به اجرای کد از راه دور منجر شود و محرمانگی، یکپارچگی و دسترس‌پذیری سیستم آسیب‌دیده را به خطر اندازد.

‏این آسیب‌پذیری به طور فعال در محیط واقعی مورد سوءاستفاده قرار گرفته است، به طوری که عاملان تهدید وب‌شل‌ها و بدافزارهایی را در سرورهای آسیب‌دیده مستقر کرده‌اند. قابل توجه است که برخی حملات حتی روی سیستم‌هایی که به طور کامل وصله شده بودند رخ داده، که نشان‌دهنده سوءاستفاده از این آسیب‌پذیری ناشناخته قبلی است.

‏🔎 بررسی کنید که آیا آسیب‌پذیر یا آلوده شده‌اید

‏مسیر URL آسیب‌پذیر:
‏/developmentserver/metadatauploader

‏نحوه بررسی آسیب‌پذیری:

‏- تست کنید که آیا URL زیر بدون احراز هویت قابل دسترسی است یا خیر:
‏https://[your-sap-server]/developmentserver/metadatauploader
‏- اگر بدون درخواست اعتبارسنجی به این صفحه دسترسی داشتید، سیستم شما آسیب‌پذیر است.

‏🚨 سرور آسیب‌پذیر است!

‏🔧 نصب وصله و اقدامات کاهش خطر

‏SAP این آسیب‌پذیری را از طریق یادداشت امنیتی شماره 3594142 که در تاریخ ۲۴ آوریل ۲۰۲۵ منتشر شده، رفع کرده است. این وصله خارج از برنامه به طور خاص مؤلفه VCFRAMEWORK نسخه ۷.۵۰ را هدف قرار می‌دهد. نصب سریع این وصله ضروری است، حتی اگر به‌روزرسانی‌های قبلی نصب شده باشند، زیرا این اصلاح پس از روز عادی وصله‌های امنیتی SAP در آوریل ۲۰۲۵ منتشر شده است.

‏🔗 منابع:

‏nvd.nist.gov - CVE-2025-31324

‏BleepingComputer - SAP Fixes NetWeaver Zero-Day

‏RedRays - SAP NetWeaver Vulnerability

‏✅ اقدامات پیشنهادی:

‏SAP یک وصله امنیتی از طریق یادداشت امنیتی شماره 3594142 ارائه داده است. به سازمان‌ها توصیه می‌شود بلافاصله اقدامات زیر را انجام دهند:

‏اعمال آخرین وصله: یادداشت امنیتی SAP شماره 3594142 را در لینک زیر در اسرع وقت پیاده‌سازی کنید:
‏SAP Security Patch - April 2025

‏وصله‌های مربوط به VISUAL COMPOSER FRAMEWORK نسخه ۷.۵۰ شامل موارد زیر است:

SP033 (000000)

SP028 (000001)

SP029 (000001)

SP030 (000001)

SP031 (000001)

SP027 (000002)

SP032 (000000)

‏محدود کردن دسترسی: تا زمان نصب وصله‌ها، دسترسی به مؤلفه Metadata Uploader را محدود کنید.

‏بررسی میزان دسترسی خارجی: اطمینان حاصل کنید که تنها کاربران احراز هویت شده اجازه آپلود فایل به مؤلفه‌های SAP را داشته باشند.

‏پیاده‌سازی راهکار موقت: برای سازمان‌هایی که امکان نصب سریع وصله را ندارند، SAP یک راهکار موقت مبتنی بر سناریوی ارائه شده در یادداشت KBA شماره 3593336 ارائه کرده است.

کمپین فیشینگ اطلاعات ورود به Office365 و توزیع RAT با استفاده از ConnectWise
یک کمپین پیچیده مبتنی بر ایمیل که به عاملان تهدید روسی نسبت داده می‌شود، کاربران Microsoft Office365 را با حمله‌ای دوگانه هدف قرار می‌دهد که شامل سرقت اطلاعات ورود (Credential Harvesting) و توزیع بدافزار است.
این حمله با ایمیل‌های فریبنده‌ای آغاز می‌شود که خود را به‌عنوان هشدار حذف فایل از سایت files.fm ـ که یک ارائه‌دهنده معتبر ذخیره‌سازی ابری است ـ معرفی می‌کنند تا اعتبار پیام را افزایش دهند.
قربانیان با باز کردن یک فایل PDF فریب داده می‌شوند که دو گزینه ارائه می‌دهد:

"پیش‌نمایش" (که به صفحه ورود جعلی مایکروسافت برای سرقت اطلاعات ورود هدایت می‌شود)

"دانلود" (که بدافزار ConnectWise RAT را نصب می‌کند).

این بدافزار با ایجاد سرویس‌هایی که به‌صورت خودکار هنگام راه‌اندازی سیستم اجرا می‌شوند و نیز با تغییر در رجیستری ویندوز، پایداری خود را حفظ کرده و از طریق سایت screenconnect.com امکان کنترل از راه دور را فراهم می‌سازد.
راهکارهای مقابله شامل غیرفعال‌سازی اجرای اسکریپت‌ها در فایل‌های PDF و آموزش کاربران برای بررسی لینک‌ها و فایل‌های پیوست حتی زمانی که از منابع قابل اعتماد ارسال شده‌اند، می‌باشد.

🛑 آسیب‌پذیری DoS در Apache Tomcat (CVE-2025-31650)

نقصی با شدت بالا در Apache Tomcat به مهاجمان این امکان را می‌دهد که با ارسال هدرهای نادرست HTTP Priority، حمله‌ی انکار سرویس (DoS) انجام دهند.
🔹 علت: اعتبارسنجی نادرست ورودی ← نشت حافظه ← خطای OutOfMemoryException
🔸 نسخه‌های آسیب‌پذیر:
‏Tomcat 9.0.76 تا 9.0.102
‏Tomcat 10.1.10 تا 10.1.39
‏Tomcat 11.0.0-M2 تا 11.0.5
✅ راهکار: ارتقاء به نسخه‌های 9.0.104، 10.1.40 یا 11.0.6
🐞 آسیب‌پذیری اجرای کد از راه دور در Apache Parquet Java (CVE-2025-46762)

نقصی با شدت بالا در کتابخانه parquet-avro به مهاجمان اجازه می‌دهد که با وارد کردن بار مخرب در metadata فایل Parquet، کد دلخواه خود را از راه دور اجرا کنند.
🔸 نسخه‌های آسیب‌پذیر: Apache Parquet Java نسخه ۱.۱۵.۱ و پایین‌تر، هنگام استفاده از مدل‌های Avro به‌صورت "specific" یا "reflect"
✅ راهکار: ارتقاء به نسخه 1.15.2
🦊 به‌روزرسانی‌های امنیتی Mozilla

وصله‌های امنیتی برای مرورگر Firefox و برنامه Thunderbird منتشر شده‌اند که آسیب‌پذیری‌های زیر را برطرف می‌کنند:

‏CVE-2025-2817: ارتقاء سطح دسترسی از طریق به‌روزرسان

‏CVE-2025-4083: فرار از sandbox با استفاده از URI نوع javascript

‏CVE-2025-4084: تزریق دستور از طریق قابلیت “Copy as cURL” در ویندوز

‏CVE-2025-4091 تا 4093: نقص‌های ایمنی حافظه که ممکن است به اجرای کد از راه دور منجر شوند
✅ راهکار: به‌روزرسانی به نسخه‌های Firefox 138، ESR 128.10 یا Thunderbird 138

🌐 به‌روزرسانی امنیتی Google Chrome

در نسخه ۱۳۶ مرورگر Chrome، هشت آسیب‌پذیری امنیتی اصلاح شده‌اند. برخی از مهم‌ترین آن‌ها عبارتند از:

‏CVE-2025-4096 (شدید): سرریز بافر heap که می‌تواند منجر به اجرای کد از راه دور شود

‏CVE-2025-4050 / 4051 / 4052: مشکلات مربوط به حافظه و اعتبارسنجی در ابزارهای توسعه (DevTools)
✅ نسخه‌های اصلاح‌شده:
• ‏ویندوز / مک: ‎136.0.7103.48 / 49
• ‏لینوکس: ‎136.0.7103.59
• ‏اندروید: ‎136.0.7103.60
• ‏iOS: ‎136.0.7103.56

SentinelOne Bypass & Babuk Ransomware Deployment


Security researchers at Aon’s Stroz Friedberg Incident Response team have discovered a new EDR evasion technique targeting SentinelOne, enabling the deployment of Babuk ransomware by exploiting the SentinelOne agent upgrade mechanism.
This method—dubbed “Bring Your Own Installer”—uses legitimate SentinelOne installers to disable endpoint protection without admin console access, leaving systems exposed to ransomware attacks.


Attack Detail:
Technique: “Bring Your Own Installer”
Targeted Product: SentinelOne EDR
Ransomware Deployed: Babuk (RaaS)

Attack Chain:
1. Method: Abuse of legitimate SentinelOne agent MSI installer
1. Steps:
1. Attacker gains local admin access by exploiting a known vulnerability in a public-facing service.
1. Deploys legitimate SentinelOne installer (e.g., SentinelInstaller_windows_64bit_v23_4_6_347.msi).
1. Installer halts SentinelOne processes.
1. Attacker executes taskkill on msiexec.exe before EDR reinstalls.
1. SentinelOne remains inactive — endpoint appears “offline” in management console.
1. Ransomware Deployed: Babuk
1. Persistence Observed: No use of malicious drivers; relies solely on trusted installer behavior.

1. Forensic Indicators

• SentinelOne Logs: EventID 93 with CommandType: unload
• Application Logs: EventID 1042 from MsiInstaller
• No SentinelOne services observed running post-execution
Screenshots

Mitigation/workaround SentinelOne Response:
SentinelOne has confirmed the issue and recommends enabling a specific policy to prevent this bypass.

Recommended Actions:
• Enable the Online Authorization feature in SentinelOne policies to block local agent upgrades or downgrades without console approval.
• Monitor for version anomalies and unexpected SentinelOne installer activity.
• Audit event logs for termination of SentinelOne processes and Windows Installer during upgrades.
• Restrict local administrative access on exposed systems.
• Apply timely patches to prevent exploitation via public vulnerabilities.

References
https://cybersecuritynews.com/threat-actor-bypass-sentinelone-edr/
https://gbhackers.com/threat-actor-evades-sentinelone-edr/

افزونه مخرب وردپرس که خود را به‌عنوان ابزار ضد بدافزار معرفی می‌کند

نمونه‌ای از بدافزار با نام WP-antymalwary-bot.php شناسایی شده که سایت‌های وردپرس را هدف قرار داده و در ظاهر، به شکل یک افزونه قانونی ظاهر می‌شود. این بدافزار که توسط تیم Wordfence کشف شده است، امکان دسترسی غیرمجاز به سطح مدیر، اجرای کد از راه دور از طریق REST API، و آلودگی مجدد مداوم با استفاده از wp-cron.php را فراهم می‌سازد.

🔸 این بدافزار از نام‌های فایل مبهم‌شده مانند addons.php و scr.php استفاده می‌کند و یک ورود اضطراری از پیش تعریف‌شده (hardcoded) برای ربودن حساب‌های مدیر دارد.

🔹 علاوه بر این، کدهای جاوااسکریپت مخرب را به قالب سایت تزریق می‌کند، با سرور فرمان‌دهی (C2) در آدرس 45.61[.]136.85 ارتباط برقرار می‌نماید و حتی پس از حذف، خودش را دوباره نصب می‌کند.

🛡 راهکارهای مقابله:

اسکن کامل افزونه‌ها برای شناسایی موارد مشکوک

بررسی و پاک‌سازی فایل wp-cron.php

حذف فایل‌های آلوده

بازیابی از بک‌آپ‌های مطمئن

تغییر رمزهای عبور مدیر سایت

✅ امضای‌های فایروال مربوط به این تهدید از سوی Wordfence ارائه شده و قابل استفاده برای شناسایی است.

هش های درایورهای آلوده -حتما اینا رو توی لاگ های سازمان تون جستجو کنید

این هش های درایورها رو سیگما رول هم داره

یکی اومده پنل های لاک بیت رو هک کرده و توش چت یه ایرانی هم بوده :

[2025-04-14 05:29:13] I want to be completely honest with you: I don't have access to any international banking systems. I don't have a foreign account, and I can't legally buy cryptocurrency like Bitcoin in my country. I live in Iran, and we are under heavy sanctions. Our currency the Toman has lost almost all its value. Even earning just a small amount of BTC is a nearly impossible task here.

I'm not a business owner with income in dollars or euros. I'm just an individual who has lost everything 20 servers gone. What you are asking for is simply beyond my means, even with a discount. If there was a way to pay in Toman, I could try to gather something, but I know it may not be useful to you.

Please, I am desperate. I'm not trying to avoid responsibility I just need a chance to recover even part of what I've lost. If you can reduce the amount to something that someone like me could possibly afford, I will do everything I can to make it happen.

This is my last hope. I'm asking not as a company or target just as a human being.

اینجا یه سری کویری های آماده داره sentinel microsoft که میشه برای شکار تهدیدات استفاده کرد 💫

این کویری ها رو میتونیم خودمون هم بنویسیم ،هر کویری ای که برای شکار تهدیدات میخوایم

VMware Aria Automation XSS (CVE-2025-22249)
A high-severity DOM-based Cross-Site Scripting (XSS) vulnerability in VMware Aria Automation could allow attackers to steal access tokens from authenticated users by luring them into clicking a specially crafted URL.
Affected: Aria Automation < 8.18.1 Patch 2, Cloud Foundation (refer KB394224), Telco Cloud Platform < 8.18.1 Patch 2 Fix: Upgrade to 8.18.1 Patch 2

VMware Tools Insecure File Handling Vulnerability (CVE-2025-22247)
A medium-severity vulnerability in VMware Tools allows local file tampering by malicious users with non-admin privileges on guest VMs.
Affected Versions: VMware Tools 12.x.x and 11.x.x Fix: Upgrade to VMware Tools 12.5.2 or later

macOS sips ICC RCE (CVE-2024-44236)
A critical memory corruption flaw in Apple’s sips tool allows arbitrary code execution via malformed ICC profile files.
Affected: macOS systems using sips (default in all versions prior to macOS 15.0.1)
Fix: Upgrade to macOS 15.0.1 or later

Cisco IOS XE WLC RCE (CVE-2025-20188)
A critical vulnerability in Cisco IOS XE Wireless LAN Controllers (WLC) allows unauthenticated remote attackers to upload files and execute commands with root privileges, leading to full device takeover.
Affected: Catalyst 9800 Series (Cloud, Embedded, Standalone), Embedded WLC on Catalyst Aps
Fix: Apply Cisco’s latest IOS XE WLC firmware

کمپین APT گروه Kimsuky با استفاده از فایل‌های LNK تسلیح‌شده
گروه APT تحت حمایت دولت کره شمالی با نام Kimsuky (که با نام‌های Black Banshee یا APT43 نیز شناخته می‌شود)، عملیات‌های جاسوسی سایبری خود را با اجرای کمپین‌های فیشینگ پیشرفته تشدید کرده است. این کمپین‌ها معمولاً با پیوست فایل‌های ZIP آغاز می‌شوند که حاوی فایل‌های میان‌بر مخرب با پسوند .lnk هستند.

وقتی این فایل‌های LNK اجرا می‌شوند، اسکریپت‌های VBScript یا PowerShell مبهم‌سازی‌شده‌ای را فعال می‌کنند که برای جمع‌آوری اطلاعات سیستم، ایجاد ماندگاری از طریق تسک‌های زمان‌بندی‌شده و دانلود بارهای مخرب اضافی از پلتفرم‌های معتبری مانند Dropbox طراحی شده‌اند.

کمپین بدافزار PupkinStealer

بدافزار PupkinStealer یک ابزار سرقت اطلاعات مبتنی بر .NET است که به یک بازیگر تهدید با نام مستعار "Ardent" نسبت داده می‌شود و از آوریل ۲۰۲۵ فعال بوده است. این بدافزار معمولاً از طریق مهندسی اجتماعی، ایمیل‌های فیشینگ، یا دانلودهای مخرب که به‌صورت برنامه‌های قانونی یا نرم‌افزارهای کرک‌شده جعلی ظاهر می‌شوند، توزیع می‌گردد.

پس از اجرا، این فایل اجرایی ۳۲ بیتی مخصوص ویندوز اطلاعات زیر را هدف قرار می‌دهد:

اعتبارنامه‌های ذخیره‌شده مرورگرها

داده‌های نشست در پیام‌رسان‌های Telegram و Discord

فایل‌های موجود در دسکتاپ

تصاویر اسکرین‌شات از سیستم کاربر

این اطلاعات از طریق Telegram Bot API به مهاجم ارسال می‌شوند.

PupkinStealer برای سرقت رمزهای عبور مرورگر از الگوریتم رمزنگاری AES-GCM استفاده کرده و پوشه‌های .tdata را برای ربودن حساب تلگرام کپی می‌کند. همچنین برای یافتن فایل‌هایی با پسوند .pdf، .txt و .jpg سیستم را اسکن می‌کند.

این بدافزار دارای ویژگی‌های پیشرفته‌ای مانند ماندگاری یا مبهم‌سازی پیچیده نیست، اما با تکیه بر کد ماژولار نوشته‌شده با C# و عملکرد پنهان‌کارانه خود عمل می‌کند.

اقدامات پیشگیرانه:

آموزش کاربران برای جلوگیری از آلودگی

مسدودسازی دسترسی به API تلگرام

اجرای سیاست‌های حداقل دسترسی (Least-Privilege)

F5 BIG-IP Command Injection Vulnerability – CVE-2025-31644

A newly disclosed high-severity vulnerability, CVE-2025-31644, affects F5 BIG-IP devices operating in Appliance mode. This vulnerability allows authenticated administrative users to execute arbitrary Bash commands as root, bypassing appliance-mode shell restrictions. A public proof-of-concept (PoC) is available, significantly increasing the likelihood of exploitation.
Details
Vulnerability Details
• CVE ID: CVE-2025-31644
• Severity: High
• Type: Authenticated command injection
• Attack Vector: Exploited via the file parameter in the save command through:
o iControl REST API (/mgmt)
o TMSH CLI (via SSH)
• Impact: Root command execution, bypass of shell restrictions, full system compromise

Impacted Versions
This vulnerability affects the following F5 BIG-IP versions:
• Version 17.x from 17.1.0 to 17.1.2
• Version 16.x from 16.1.0 to 16.1.5
• Version 15.x from 15.1.0 to 15.1.10
These issues are fixed in:
• Version 17.1.2.2 or later
• Version 16.1.6 or later
• Version 15.1.10.7 or later
Mitigation/workaround
• Patch Immediately: Upgrade affected systems to the latest fixed versions.
• Restrict Administrative Access: Ensure access is limited to trusted networks or controlled through secure jump hosts.
• Monitor Logs: Review system logs for unusual or suspicious usage of the save command or REST API activity involving abnormal file parameters.
• Harden Environment: Follow F5's hardening guides and disable unnecessary administrative interfaces if not in use.

References
https://my.f5.com/manage/s/article/K000148591

Apple Ecosystem – May 2025 Patch

Apple has released urgent security updates to address multiple critical vulnerabilities across its ecosystem. These flaws affect iOS, iPadOS, macOS, watchOS, tvOS, Safari, and visionOS. Some of these vulnerabilities allow remote code execution, privilege escalation, or sensitive data exposure, triggered through malicious content or crafted network traffic.
Details
Key Vulnerability Details
Key Vulnerabilities Patched
• CVE-2025-31214 – Baseband Vulnerability
Allows attackers with privileged network position to intercept traffic.
• CVE-2025-31222 – mDNSResponder
Privilege escalation issue allowing unauthorized access to higher permissions.
• CVE-2024-8176 – libexpat Vulnerabilities
Can cause app crashes or allow arbitrary code execution when parsing XML.
• CVE-2025-31258 – Sandbox Escape
Malicious applications could break out of sandbox and access restricted system resources.
Apple has provided security fixes in the following latest versions:
• iOS / iPadOS 18.5
iPhone XS and later, iPad Pro (13"/12.9"/11"), iPad Air 3rd gen+, iPad 7th gen+, iPad mini 5th gen+
• iPadOS 17.7.7
iPad Pro 12.9-inch (2nd gen), Pro 10.5-inch, iPad 6th gen
• macOS Sequoia 15.5
• macOS Sonoma 14.7.6
• macOS Ventura 13.7.6
• watchOS 11.5
Apple Watch Series 6 and newer
• tvOS 18.5
Apple TV HD and all Apple TV 4K models
• visionOS 2.5
Apple Vision Pro
• Safari 18.5
For macOS Ventura and Sonoma

Mitigation/workaround • Immediate Action:
Apply the latest updates across all Apple devices listed above.
• Best Practices:
o Avoid opening suspicious links or attachments from untrusted sources.
o Encourage organization-wide update enforcement for all Apple endpoints.
o Monitor logs for abnormal application behaviors post-update.

References
https://support.apple.com/en-us/100100

Microsoft Outlook Remote Code Execution Vulnerability (CVE-2025-32705)

Microsoft has patched a critical remote code execution (RCE) vulnerability in its Outlook client as part of the May 2025 Patch Tuesday updates. Tracked as CVE-2025-32705, the flaw stems from an out-of-bounds read issue that can be triggered when a user opens a malicious file within Outlook. This vulnerability could allow attackers to execute arbitrary code, potentially leading to full system compromise.
The Outlook Preview Pane is not affected — exploitation requires the user to actively open a specially crafted file.
Details
Vulnerability Details
• CVE ID: CVE-2025-32705
• Severity: Important
• Attack Vector: Local, via malicious file opened in Outlook
• Impact: Arbitrary code execution on the victim’s system
• Exploitation Prerequisites: Requires user interaction (file must be opened manually)
• Affected Products:
o Microsoft Office LTSC 2021 (32-bit and 64-bit)
o Microsoft Office LTSC 2024 (32-bit and 64-bit)
o Microsoft 365 Apps for Enterprise (32-bit and 64-bit)
This flaw was responsibly disclosed by Haifei Li of EXPMON, with credit acknowledged by Microsoft.

Mitigation/workaround
• Apply Microsoft Security Updates: Ensure all Outlook installations across the organization are patched immediately using official Microsoft update channels.
• Avoid Opening Suspicious Attachments: Users should avoid interacting with unexpected files, even if sent from known sources.
• Reinforce Endpoint Security: Ensure antivirus and EDR solutions are active and up-to-date to detect any exploitation attempts.
• Monitor Microsoft Security Advisories: Stay alert for future updates or possible exploit attempts targeting CVE-2025-32705.

References
https://cybersecuritynews.com/outlook-remote-code-execution-vulnerability/

Microsoft – May 2025 Patch Tuesday

Microsoft has released security and feature updates for all supported versions of Windows as part of its May 2025 Patch Tuesday rollout. A total of 78 vulnerabilities were addressed, including five actively exploited zero-day vulnerabilities and two publicly disclosed zero-days. The updates cover critical flaws across the Windows OS, Defender, Edge, Internet Explorer, and development tools like Visual Studio.
Details
Key Vulnerability Highlights
• CVE-2025-30400 – DWM Core Library Elevation of Privilege
o Use-after-free vulnerability exploited to gain SYSTEM privileges.
• CVE-2025-32701 & CVE-2025-32706 – Common Log File System (CLFS) Driver Privilege Escalation
o Exploited in the wild; allows attackers to elevate local privileges to SYSTEM level using use-after-free and input validation flaws.
• CVE-2025-32709 – Ancillary Function Driver for WinSock Privilege Escalation
o Use-after-free issue exploited locally to escalate privileges.
• CVE-2025-30397 – Scripting Engine Memory Corruption (RCE)
o Type confusion vulnerability can be exploited via malicious Edge/IE links.
• CVE-2025-26685 – Defender for Identity Spoofing (Publicly disclosed)
o Allows an attacker with LAN access to spoof another identity.
• CVE-2025-32702 – Visual Studio Command Injection (RCE) (Publicly disclosed)
o Exploitable by unauthenticated users to run code locally via malformed commands.

Affected Platforms & Updates
• Windows 10 (22H2): 34 vulnerabilities (3 critical)
o KB5058379: Security fixes, Event Viewer bug fix, new drivers added to blocklist.
• Windows 11 (22H2/23H2): 35 vulnerabilities (3 critical)
o KB5058405: Lock screen widgets, Phone Link enhancements, UI bug fixes.
• Windows 11 (24H2): 36 vulnerabilities (3 critical)
o KB5058411: Includes Recall preview, Click to Do AI actions, natural language search.
• Windows Server (2008 to 2025): Up to 38 vulnerabilities
o Includes privilege escalation, DoS, spoofing, and remote code execution fixes.

Mitigation/workaround
• Apply the cumulative updates released for your respective Windows versions (see KB references).
• Monitor for anomalous behavior such as SYSTEM privilege elevations, unexpected scheduled tasks, or DLL injections.
• Enable behavioral analytics and audit privileged operations using EDR/SIEM platforms.
• For Visual Studio users, ensure only signed extensions and packages are trusted and executed.

References
https://msrc.microsoft.com/update-guide/releaseNote/2025-May
https://www.ghacks.net/2025/05/13/microsoft-windows-security-updates-for-may-2025-are-now-available/
https://www.bleepingcomputer.com/news/microsoft/microsoft-may-2025-patch-tuesday-fixes-5-exploited-zero-days-72-flaws/