- شناسه CVE-2025-21409 :CVE
- CWE-122 :CWE
- yes :Advisory
- منتشر شده: ژانویه 14, 2025
- به روز شده: سپتامبر 9, 2025
- امتیاز: 8.8
- نوع حمله: Buffer Overflow
- اثر گذاری: Remote code execution(RCE)
- حوزه: سیستم‌عامل‌ها و اجزای کلیدی آن
- برند: Microsoft
- محصول: Windows
- وضعیتPublished :CVE
- No :POC
- وضعیت آسیب پذیری: patch شده
چکیده
آسیب‌پذیری در سرویس تلفنی ویندوز (Windows Telephony Service) ناشی از سرریز بافر مبتنی بر heap است و به مهاجمان اجازه می‌دهد با فریب کاربر برای ارسال درخواست به سرور مخرب، کد دلخواه روی سیستم اجرا کرده و کنترل کامل دستگاه را به دست آورند.
توضیحات
آسیب‌پذیری CVE-2025-21409 در سرویس تلفنی ویندوز ناشی از سرریز بافر مبتنی بر heap است که هنگام پردازش داده‌های دریافتی از سرور رخ می‌دهد و مطابق با CWE-122 طبقه بندی می شود. سرریز بافر در heap زمانی رخ می‌دهد که داده‌ای بیشتر از فضای تخصیص‌یافته نوشته شود و باعث فساد ساختارهای مدیریتی حافظه و بازنویسی پوینترها می‌گردد. این فساد میتواند کنترل جریان اجرا را تغییر داده و به اجرای کد دلخواه منجر شود.
مهاجم میتواند با فریب، کاربر، او را وادار به باز کردن لینک یا ارسال درخواست HTTP/HTTPS به سرور کنترل‌شده کند. سپس سرور پاسخ مخرب برمی‌گرداند و این داده‌های مخرب باعث سرریز heap در سرویس TAPI شده و در نتیجه امکان اجرای کد از راه دور (RCE) با سطح دسترسی سیستم فراهم می شود.
این آسیب پذیری نسبتاً آسان قابل خودکارسازی است و در صورت موفقیت پیامدهایی جدی از جمله نقض محرمانگی با دسترسی به فایل‌ها و داده‌های حساس، یکپارچگی با امکان تغییر یا تزریق کد و نصب بدافزار و اختلال در دسترس‌پذیری با کرش یا کنترل کامل سیستم را به همراه دارد.
این ضعف نسخه‌های مختلف از ویندوز از جمله ویندوز سرور 2008 تا ویندوز 10/11 (تا نسخه 24H2) و نسخه‌های سروری مرتبط را تحت تاثیر قرار می دهد. مایکروسافت پچ‌های امنیتی مربوطه را در ژانویه 2025 از طریق Windows Update و بسته‌های KB رسمی منتشر کرده است.
CVSS
| Score | Severity | Version | Vector String |
| 8.8 | HIGH | 3.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C |
لیست محصولات آسیب پذیر
| Versions | Platforms | Product |
| affected from 10.0.17763.0 before 10.0.17763.6775 | 32-bit Systems, x64-based Systems | Windows 10 Version 1809 |
| affected from 10.0.17763.0 before 10.0.17763.6775 | x64-based Systems | Windows Server 2019 |
| affected from 10.0.17763.0 before 10.0.17763.6775 | x64-based Systems | Windows Server 2019 (Server Core installation) |
| affected from 10.0.20348.0 before 10.0.20348.3091 | x64-based Systems | Windows Server 2022 |
| affected from 10.0.19043.0 before 10.0.19044.5371 | 32-bit Systems, ARM64-based Systems, x64-based Systems | Windows 10 Version 21H2 |
| affected from 10.0.22621.0 before 10.0.22621.4751 | ARM64-based Systems, x64-based Systems | Windows 11 version 22H2 |
| affected from 10.0.19045.0 before 10.0.19045.5371 | x64-based Systems, ARM64-based Systems, 32-bit Systems | Windows 10 Version 22H2 |
| affected from 10.0.26100.0 before 10.0.26100.2894 | x64-based Systems | Windows Server 2025 (Server Core installation) |
| affected from 10.0.22631.0 before 10.0.22631.4751 | ARM64-based Systems | Windows 11 version 22H3 |
| affected from 10.0.22631.0 before 10.0.22631.4751 | x64-based Systems | Windows 11 Version 23H2 |
| affected from 10.0.25398.0 before 10.0.25398.1369 | x64-based Systems | Windows Server 2022, 23H2 Edition (Server Core installation) |
| affected from 10.0.26100.0 before 10.0.26100.2894 | ARM64-based Systems, x64-based Systems | Windows 11 Version 24H2 |
| affected from 10.0.26100.0 before 10.0.26100.2894 | x64-based Systems | Windows Server 2025 |
| affected from 10.0.10240.0 before 10.0.10240.20890 | 32-bit Systems, x64-based Systems | Windows 10 Version 1507 |
| affected from 10.0.14393.0 before 10.0.14393.7699 | 32-bit Systems, x64-based Systems | Windows 10 Version 1607 |
| affected from 10.0.14393.0 before 10.0.14393.7699 | x64-based Systems | Windows Server 2016 |
| affected from 10.0.14393.0 before 10.0.14393.7699 | x64-based Systems
|
Windows Server 2016 (Server Core installation) |
| affected from 6.0.6003.0 before 6.0.6003.23070 | 32-bit Systems | Windows Server 2008 Service Pack 2 |
| affected from 6.0.6003.0 before 6.0.6003.23070 | 32-bit Systems, x64-based Systems | Windows Server 2008 Service Pack 2 (Server Core installation) |
| affected from 6.0.6003.0 before 6.0.6003.23070 | x64-based Systems | Windows Server 2008 Service Pack 2 |
| affected from 6.1.7601.0 before 6.1.7601.27520 | x64-based Systems | Windows Server 2008 R2 Service Pack 1 |
| affected from 6.1.7601.0 before 6.1.7601.27520 | x64-based Systems | Windows Server 2008 R2 Service Pack 1 (Server Core installation) |
| affected from 6.2.9200.0 before 6.2.9200.25273 | x64-based Systems | Windows Server 2012 |
| affected from 6.2.9200.0 before 6.2.9200.25273 | x64-based Systems | Windows Server 2012 (Server Core installation) |
| affected from 6.3.9600.0 before 6.3.9600.22371 | x64-based Systems |
Windows Server 2012 R2 |
| affected from 6.3.9600.0 before 6.3.9600.22371 | x64-based Systems | Windows Server 2012 R2 (Server Core installation) |
لیست محصولات بروز شده
| Versions | Platforms | Product |
| 10.0.17763.6775 | 32-bit Systems, x64-based Systems | Windows 10 Version 1809 |
| 10.0.17763.6775 | x64-based Systems | Windows Server 2019 |
| 10.0.17763.6775 | x64-based Systems | Windows Server 2019 (Server Core installation) |
| 10.0.20348.3091 | x64-based Systems | Windows Server 2022 |
| 10.0.19044.5371 | 32-bit Systems, ARM64-based Systems, x64-based Systems | Windows 10 Version 21H2 |
| 10.0.22621.4751 | ARM64-based Systems, x64-based Systems | Windows 11 version 22H2 |
| 10.0.19045.5371 | x64-based Systems, ARM64-based Systems, 32-bit Systems | Windows 10 Version 22H2 |
| 10.0.26100.2894 | x64-based Systems | Windows Server 2025 (Server Core installation) |
| 10.0.22631.4751 | ARM64-based Systems | Windows 11 version 22H3 |
| 10.0.22631.4751 | x64-based Systems | Windows 11 Version 23H2 |
| 10.0.25398.1369 | x64-based Systems | Windows Server 2022, 23H2 Edition (Server Core installation) |
| 10.0.26100.2894 | ARM64-based Systems, x64-based Systems | Windows 11 Version 24H2 |
| 10.0.26100.2894 | x64-based Systems | Windows Server 2025 |
| 10.0.10240.20890 | 32-bit Systems, x64-based Systems | Windows 10 Version 1507 |
| 10.0.14393.7699 | 32-bit Systems, x64-based Systems | Windows 10 Version 1607 |
| 10.0.14393.7699 | x64-based Systems | Windows Server 2016 |
| 10.0.14393.7699 | x64-based Systems
|
Windows Server 2016 (Server Core installation) |
| 6.0.6003.23070 | 32-bit Systems | Windows Server 2008 Service Pack 2 |
| 6.0.6003.23070 | 32-bit Systems, x64-based Systems | Windows Server 2008 Service Pack 2 (Server Core installation) |
| 6.0.6003.23070 | x64-based Systems | Windows Server 2008 Service Pack 2 |
| 6.1.7601.27520 | x64-based Systems | Windows Server 2008 R2 Service Pack 1 |
| 6.1.7601.27520 | x64-based Systems | Windows Server 2008 R2 Service Pack 1 (Server Core installation) |
| 6.2.9200.25273 | x64-based Systems | Windows Server 2012 |
| 6.2.9200.25273 | x64-based Systems | Windows Server 2012 (Server Core installation) |
| 6.3.9600.22371 | x64-based Systems |
Windows Server 2012 R2 |
| 6.3.9600.22371 | x64-based Systems | Windows Server 2012 R2 (Server Core installation) |
استفاده محصول در ایران
در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که Windows Server، Windows 10، Windows 11 و Windows Telephony Service را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.
| Approx. Usage in .ir Domain via Google
(Total Pages) |
Search Query (Dork) | Product |
| 278,000 | site:.ir “Windows Server” | Windows Server |
| 986,000 | site:.ir “Windows 10” | Windows 10 |
| 492,000 | site:.ir “Windows 11” | Windows 11 |
| 5 | site:.ir “Windows Telephony Service” | Windows Telephony Service |
نتیجه گیری
این آسیب‌پذیری با شدت بالا در سرویس تلفنی ویندوز (TAPI) امکان اجرای کد از راه دور را از طریق فریب کاربر و سرریز Heap فراهم می‌کند و در نتیجه سیستم‌های ویندوزی سازمانی را در معرض تهدید جدی قرار می‌دهد. برای کاهش سریع ریسک و جلوگیری از بهره‌برداری، اقدامات زیر ضروری است:
- به‌روزرسانی فوری: تمامی سیستم‌های ویندوز را از طریق Windows Update / WSUS / Microsoft Update Catalog به بیلدهای پچ‌شده ژانویه 2025 به روزرسانی کنید. بسته‌های به‌روزرسانی را تنها از منابع رسمی مایکروسافت دریافت کنید و قبل از استقرار گسترده ابتدا در محیط آزمایشی (staging) اعتبارسنجی نمایید.
- محدودسازی دسترسی: سیاست‌های حداقل سطح دسترسی (least‑privilege) را اعمال کنید، سطح UAC را تقویت نمایید و دسترسی کاربران را با مکانیزم‌های RBAC محدود کنید. قوانین فایروال (Windows Defender Firewall) را برای کاهش تعامل با منابع مشکوک پیکربندی کنید.
- نظارت و ثبت لاگ: لاگ‌های سیستم مرتبط با TAPI و کرش‌ها را به‌صورت متمرکز جمع‌آوری و بررسی کنید. از SIEM/EDR (برای مثال Microsoft Defender for Endpoint، Splunk) برای شناسایی الگوهای مشکوک و هشداردهی خودکار استفاده نمایید.
- ایزوله‌سازی محیط: در محیط‌های حساس، برنامه‌های وابسته به TAPI را در VM یا Windows Sandbox ایزوله کنید و از کنترل‌های زمان‌اجرا برای کاهش اثر بهره‌برداری استفاده نمایید.
- اسکن و تست امنیتی: پس از اعمال پچ، اسکن‌های آسیب‌پذیری (Nessus, Qualys, MBSA) و تست نفوذ متمرکز بر سناریوهای فیشینگ و مهندسی اجتماعی اجرا کنید. برای تحلیل‌های فنی از ابزارهای تخصصی (مثل WinDbg برای heap dump) بهره ببرید.
- آموزش کاربران: کارکنان را درخصوص فیشینگ، ریسک کلیک روی لینک‌های ناشناس و گزارش فعالیت های مشکوک آموزش دهید.
اجرای این اقدامات به‌ویژه نصب پچ‌های رسمی ژانویه 2025، به‌طور چشمگیری ریسک بهره‌برداری از آسیب پذیری را کاهش داده و امنیت محیط‌های ویندوزی را تقویت می‌کند. اقدامات موقت (غیرفعال‌سازی یا ایزوله‌سازی) تنها باید همراه با برنامه تست و بررسی پیامدها اجرا شده و هرگز جایگزین اعمال پچ رسمی نشوند.
امکان استفاده در تاکتیک های Mitre Attack
Initial Access (TA0001)
مهاجم میتواند از طریق فریب کاربر (Social Engineering / Phishing) و کلیک روی لینک یا باز کردن درخواست HTTP/HTTPS مخرب، دسترسی اولیه به سیستم را بدست آورد.
Execution (TA0002)
پس از ارسال داده مخرب به سرویس TAPI، سرریز heap رخ داده و امکان اجرای کد دلخواه از راه دور (RCE) با دسترسی سیستم فراهم می‌شود
Credential Access (TA0006)
با کنترل کامل سیستم، مهاجم میتواند credentialها و توکن‌های کاربری را استخراج کند.
Discovery (TA0007)
مهاجم پس از ورود، میتواند اطلاعات سیستم و سرویس‌های فعال را کشف کند.
Privilege Escalation (TA0004)
با بهره‌برداری موفق، مهاجم سطح دسترسی خود را به SYSTEM ارتقا می‌دهد.
Collection (TA0009)
با اجرای موفق داده‌های حساس شامل فایل‌ها و رمزها میتواند توسط مهاجم جمع‌آوری شود.
Exfiltration (TA0010)
مهاجم ممکن است اطلاعات جمع‌آوری‌شده را به خارج منتقل کند.
Defense Evasion (TA0005)
با دسترسی کامل، مهاجم میتواند لاگ‌ها را پاک یا ابزارهای امنیتی را دور بزند.
Lateral Movement (TA0008)
مهاجم با اجرای موفق کد میتواند از سیستم آلوده به سایر سیستم‌ها منتقل شود.
Impact (TA0040)
اجرای کد دلخواه باعث نقض محرمانگی (Confidentiality)، تغییر سیستم و نصب بدافزار (Integrity) و اختلال در دسترس‌پذیری (Availability) می‌شود.
منابع
- https://www.cve.org/CVERecord?id=CVE-2025-21409
- https://www.cvedetails.com/cve/CVE-2025-21409/
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21409
- https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-21409
- https://vuldb.com/?id.291810
- https://nvd.nist.gov/vuln/detail/cve-2025-21409
- https://cwe.mitre.org/data/definitions/122.html
