A Microsoft rendkívüli (OOB) biztonsági frissítést adott ki a Windows Server Update Services (WSUS) platform kritikus, távoli kódfuttatást lehetővé tevő hibájára (CVE-2025-59287).
A WSUS az a központi szolgáltatás, amelyen keresztül a szervezetek Windows-frissítéseket osztanak szét – vagyis egy WSUS-szerver kompromittálása egész flották megfertőzéséhez vezethet.
Mi a hiba lényege?
- Típus: CWE-502 – nem megbízható adatok deszerializációja
- Következmény: speciálisan kialakított kérés távoli kódfuttatást idézhet elő
- Jogosultság: a WSUS többnyire SYSTEM szintű joggal fut → teljes gép feletti irányítás
- Támadási feltételek: hálózatról indítható, hitelesítés nélküli, felhasználói interakció nélkül
- CVSS 3.1: 9.8 – Kritikus
- Kihasználtság: publikus PoC elérhető, aktív kihasználás is észlelt
Érintett rendszerek
A WSUS Server szerepkört futtató Windows Server 2012/2012 R2, 2016, 2019, 2022 (23H2 Server Core is), 2025.
Fontos: ha a szerveren nincs WSUS Server szerepkör, nem érintett ennél a CVE-nél.
Idővonal és sürgősség
- 2025.10.14. – CVE publikusan megjelenik
- 2025.10.23. – Microsoft out-of-band javítás kiadva
- Közben: PoC közzétéve, terített támadások megfigyelve → Microsoft: “More Likely” kihasználhatóság
Miért különösen veszélyes?
- Hitelesítés nélkül indítható → nincs felhasználói kattintás
- SYSTEM szintű végrehajtás → legmagasabb jogosultság
- Terjesztési ugródeszka → a WSUS-on át rosszindulatú “frissítések” tolhatók ki sok végpontra (akár féreg-szerű terjedési kockázat a WSUS-ök között)
Azonnali teendők – gyors ellenőrzőlista (SOC/IT üzemeltetés)
1) Eszközinventár
- Keress meg minden szervert, ahol a WSUS Server szerepkör engedélyezett.
- PowerShell példa:
Get-WindowsFeature -Name *UpdateServices* | Where-Object {$_.InstallState -eq "Installed"}
- PowerShell példa:
- Külön jelöld a publikusan elérhető vagy DMZ-ben lévő példányokat.
2) Patch alkalmazása (OOB)
- Alkalmazd a Microsoft rendkívüli frissítését minden érintett OS-re (pl. Windows Server 2025-ön a KB5070881).
- Végrehajtás után: újraindítás, majd verifikáció (build/KB szint).
3) Átmeneti mitigáció (ha nem tudsz azonnal frissíteni)
- WSUS szerepkör ideiglenes letiltása az érintett hoston (szolgáltatáskieséssel jár!).
- Tűzfalon tiltás: TCP 8530/8531 bejövő forgalom (IIS/WSUS alapértelmezett portok).
- Hálózati izoláció: a WSUS csak belső menedzsment hálózatról legyen elérhető (VPN/jumphost).
4) Naplók és anomáliák monitorozása
- WSUS/IIS logok: szokatlan POST/GET minták, ismeretlen kliens IP-k, tömeges “Update” metadata műveletek.
- Event logok: szolgáltatás-újraindulások, váratlan alkalmazás-hibák,
w3wp.exerendellenes viselkedése. - Hálózati forgalom: ismeretlen kimenő kapcsolatok WSUS-ról, alá nem írt/furcsa tartalmú “frissítések”.
5) Kiadási lánc és bizalom ellenőrzése
- Code-signing és tanúsítvány-láncok validálása.
- “Downstream” WSUS-oknál és kliensen: csak aláírt tartalom engedélyezése; “Third-party updates” felülvizsgálata.
- Visszaállítási terv: mentések frissítése/tesztje, kompromittált metaadatok visszagörgetése.
6) Hálózati expozíció minimalizálása
- A 8530/8531 csak belső, szegmentált hálózatból legyen elérhető.
- Ha internet felől is látható: azonnali lezárás/GeoIP/ACL, WAF szabályok, reverse proxy/MTLS.
7) Kommunikáció és üzemszünet
- Értesítsd: felsővezetés, SOC, IR, szerver-üzemeltetés, helpdesk.
- Ütemezz karbantartási ablakot és kommunikáld az esetleges kliens-patch késéseket.
Megfigyelési tippek (gyors szűrések)
IIS (WSUS) HTTP naplók – gyanús minták:
- Szokatlan mennyiségű
/ClientWebService/client.asmxvagy/SimpleAuthWebService/SimpleAuth.asmxhívás - Atypikus User-Agent / nem megszokott forrás IP-k
- Nagy, ismeretlen payloadok (deszerializációs támadások gyakran “bulk” POST-ok)
Windows események
- Application/System:
w3wp.execrash/restart, .NET kivételek - Security: újonnan létrehozott szolgáltatások/ütemezett feladatok (SYSTEM-ből), ismeretlen binárisok futása
Hálózat
- WSUS szerver új, nem dokumentált kimenő célokra kommunikál
- Downstream gépek egyszerre kezdenek nem jóváhagyott “frissítést” letölteni
Kockázatkezelési megfontolások
- Gyors patch-elés > átmeneti tiltások: a mitigációk csak hídmegoldások.
- Zéró bizalom a frissítés-láncban kompromittálódás gyanúja esetén: a tartalomforrást (upstream szerverek) is vizsgáld.
- Szegmentáció: a frissítés-infrastruktúra legyen elkülönített menedzsment hálózaton, korlátozott admin eléréssel.
Összegzés
A CVE-2025-59287 a védők rémálma: hálózatról, hitelesítés nélkül, SYSTEM jogosultsággal kihasználható – ráadásul egy elosztó szerepet betöltő szolgáltatásban. A javítás már elérhető: telepítsd azonnal, és tartsd érvényben a fenti mitigációkat, amíg minden érintett WSUS szerver biztosan friss.
