-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512
#####################################################
## N C S C ~ B E V E I L I G I N G S A D V I E S ##
#####################################################
Titel : Kwetsbaarheden verholpen in Microsoft Developer Tools
Advisory ID : NCSC-2025-0153
Versie : 1.00
Kans : medium
CVE ID : CVE-2025-21264, CVE-2025-26646, CVE-2025-29813,
CVE-2025-32702, CVE-2025-32703
(Details over de kwetsbaarheden kunt u vinden op
de Mitre website: https://cve.mitre.org/cve/)
Schade : high
Files or Directories Accessible to External Parties
Authentication Bypass by Assumed-Immutable Data
External Control of File Name or Path
Insufficient Granularity of Access Control
Improper Neutralization of Special Elements used in a
Command ('Command Injection')
Exposure of Sensitive Information to an Unauthorized
Actor
Uitgiftedatum : 20250513
Toepassing : Microsoft .NET 8.0 installed on Linux
Microsoft .NET 8.0 installed on Mac OS
Microsoft .NET 8.0 installed on Windows
Microsoft .NET 9.0 installed on Linux
Microsoft .NET 9.0 installed on Mac OS
Microsoft .NET 9.0 installed on Windows
Microsoft Azure DevOps
Microsoft Build Tools for Visual Studio 2022
Microsoft Microsoft Visual Studio 2017 version 15.9
(includes 15.0 - 15.8)
Microsoft Microsoft Visual Studio 2019 version 16.11
(includes 16.0 - 16.10)
Microsoft Microsoft Visual Studio 2022 version 17.10
Microsoft Microsoft Visual Studio 2022 version 17.12
Microsoft Microsoft Visual Studio 2022 version 17.13
Microsoft Microsoft Visual Studio 2022 version 17.8
Microsoft Visual Studio 2019
Microsoft Visual Studio 2022
Versie(s) :
Platform(s) :
Beschrijving
Microsoft heeft kwetsbaarheden verholpen in diverse Developer Tools.
Een kwaadwillende kan de kwetsbaarheden misbruiken om aanvallen uit
te voeren die kunnen leiden tot de volgende categorieën schade:
- Omzeilen van een beveiligingsmaatregel
- Uitvoer van willekeurige code (gebruikersrechten)
- Toegang tot gevoelige gegevens
- Spoofing
- Verkrijgen van verhoogde rechten
Voor de kwetsbaarheid met kenmerk CVE-2025-29813 heeft Microsoft
inmiddels updates uitgerold binnen het Azure platform. Hiervoor zijn
geen verdere acties nodig.
```
Visual Studio:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2025-32703 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2025-32702 | 7.80 | Uitvoeren van willekeurige code |
|----------------|------|-------------------------------------|
.NET, Visual Studio, and Build Tools for Visual Studio:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2025-26646 | 8.00 | Voordoen als andere gebruiker |
|----------------|------|-------------------------------------|
Visual Studio Code:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2025-21264 | 6.70 | Omzeilen van beveiligingsmaatregel |
|----------------|------|-------------------------------------|
Azure DevOps:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2025-29813 | 10.00 | Verkrijgen van verhoogde rechten |
|----------------|------|-------------------------------------|
```
Mogelijke oplossingen
Microsoft heeft updates beschikbaar gesteld waarmee de beschreven
kwetsbaarheden worden verholpen. We raden u aan om deze updates te
installeren. Meer informatie over de kwetsbaarheden, de installatie
van de updates en eventuele work-arounds vindt u op:
https://portal.msrc.microsoft.com/en-us/security-guidance
Referenties:
Source - cveprojectv5
https://www.cve.org/CVERecord?id=CVE-2025-21264
Source raw - cveprojectv5
https://raw.githubusercontent.com/CVEProject/cvelistV5/main/cves/2
025/21xxx/CVE-2025-21264.json
Source - cveprojectv5
https://www.cve.org/CVERecord?id=CVE-2025-29813
Source raw - cveprojectv5
https://raw.githubusercontent.com/CVEProject/cvelistV5/main/cves/2
025/29xxx/CVE-2025-29813.json
Source - cveprojectv5
https://www.cve.org/CVERecord?id=CVE-2025-32702
Source raw - cveprojectv5
https://raw.githubusercontent.com/CVEProject/cvelistV5/main/cves/2
025/32xxx/CVE-2025-32702.json
Source - cveprojectv5
https://www.cve.org/CVERecord?id=CVE-2025-32703
Source raw - cveprojectv5
https://raw.githubusercontent.com/CVEProject/cvelistV5/main/cves/2
025/32xxx/CVE-2025-32703.json
Source - microsoft
https://api.msrc.microsoft.com/cvrf/v3.0/cvrf/2025-May
Vrijwaringsverklaring
Door gebruik van deze security advisory gaat u akkoord met de
navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
kan het NCSC niet instaan voor de volledigheid, juistheid of
(voortdurende) actualiteit van dit beveiligingsadvies. De informatie
in dit beveiligingsadvies is uitsluitend bedoeld als algemene
informatie voor professionele partijen. Aan de informatie in dit
beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
van het gebruik of de onmogelijkheid van het gebruik van dit
beveiligingsadvies, waaronder begrepen schade ten gevolge van de
onjuistheid of onvolledigheid van de informatie in dit
beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
van toepassing. Alle geschillen in verband met en/of voortvloeiend
uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----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=LUML
-----END PGP SIGNATURE-----
