Tech News: Grave vulnerabilità individuata nel client desktop remoto di Microsoft (CVE-2025-48817)

È stata individuata una grave vulnerabilità nel client desktop remoto di Microsoft. La vulnerabilità, identificata come CVE-2025-48817, interessa diverse versioni di Windows e comporta rischi significativi per la sicurezza delle organizzazioni che si affidano alle connessioni RDP (Remote Desktop Protocol).

Di seguito riportiamo un riepilogo dei dettagli attualmente disponibili, incluse le informazioni sulle patch rilasciate da Microsoft l’8 luglio.

Informazioni sulla vulnerabilità

CVE-2025-48817 è una vulnerabilità di tipo relative path traversal, che si combina con meccanismi di controllo degli accessi non autorizzati all’interno dell’infrastruttura del client desktop remoto di Microsoft.

Quando le vittime si connettono a un server compromesso utilizzando un software client desktop remoto vulnerabile, gli aggressori potrebbero superare i limiti delle cartelle ed eseguire codice arbitrario da remoto (RCE).

Questa vulnerabilità non richiede privilegi per essere sfruttata. Tuttavia, è comunque necessario che gli utenti privilegiati interagiscano con un endpoint RDP controllato dall’aggressore.

Secondo Microsoft, non risultano segnalazioni di sfruttamento di questa vulnerabilità nel mondo reale, né se ne è discusso su blog di fornitori di software di sicurezza, forum, social media, ecc. Questo suggerisce — ma certamente non garantisce — che gli attori delle minacce non fossero a conoscenza della vulnerabilità prima della divulgazione pubblica da parte di Microsoft l’8 luglio. Se così fosse, ciò offre alle organizzazioni interessate una piccola finestra temporale per eliminare la falla prima che gli attori delle minacce se ne accorgano e inizino a lanciare attacchi.

Punteggio CVSS e livello di gravità

A CVE-2025-48817 è stato assegnato un punteggio CVSS di 8,8, che classifica la sua gravità come “alta” (si noti che il punteggio di 8,8 è di soli 0,2 punti inferiore alla classificazione più grave, “critica”). Le vulnerabilità con gravità alta sono considerate un rischio critico per i sistemi e i dati, e richiedono attenzione e mitigazione immediate.

Prodotti interessati

I seguenti prodotti Microsoft sono interessati da questa vulnerabilità:

• Windows Server 2008/2008 R2/2012/2012 R2
• Windows Server 2016/2019/2022/2025
• Windows 10 (tutte le versioni dalla 1607 alla 22H2)
• Windows 11 (22H2, 23H2, 24H2)
• Client desktop remoto per Windows Desktop
• Client Windows App per Windows Desktop

Percorso dell’attacco

Un attacco che sfrutta CVE-2025-48817 si svolge secondo le seguenti fasi:

• Fase 1: creazione di un server RDP malevolo. Questo può essere realizzato in diversi modi, ad esempio utilizzando implementazioni RDP open source, strumenti commerciali o compromettendo un’infrastruttura legittima.

• Fase 2: interazione dell’utente. Questa fase consiste nell’indurre un utente amministrativo (o un endpoint privilegiato) ad avviare una connessione RDP verso il server malevolo. Ciò può avvenire tramite phishing, ingegneria sociale o varie tattiche di movimento laterale.

• Fase 3: sfruttamento della vulnerabilità. Quando la vittima si connette, il server presenta risorse o unità mappate contenenti percorsi appositamente costruiti. Il client vulnerabile non esamina né rifiuta questi input, ed elabora operazioni sui file al di fuori dell’ambito previsto.

• Fase 4: esecuzione di codice da remoto. Il payload dell’aggressore viene eseguito sul sistema locale. Ciò può inoltre portare all’installazione di ransomware o malware, o alla creazione di un accesso backdoor.

Patch

L’8 luglio, Microsoft ha rilasciato patch di sicurezza complete per correggere CVE-2025-48817 in tutto il suo ecosistema Windows. Tutti gli aggiornamenti sono disponibili nel Microsoft Security Response Center.

Le organizzazioni interessate sono invitate a dare priorità all’applicazione di due nuovi aggiornamenti di sicurezza, KB5062553 e KB5062552, insieme alle patch corrispondenti alle rispettive versioni di Windows.

Approfondimento e consigli del nostro Operations Security Specialist, Patrick Pilotte:

La vulnerabilità CVE-2025-48817, recentemente divulgata nel client desktop remoto di Microsoft, è un chiaro promemoria dei rischi di sicurezza intrinseci legati all’uso di RDP negli ambienti Windows. Questa falla di gravità elevata interessa un’ampia gamma di sistemi — da Windows Server 2008 a Windows 11 — e consente l’esecuzione remota di codice non autenticata quando un utente si connette a un server RDP malevolo.

Sebbene Microsoft abbia rilasciato le patch l’8 luglio e non si registri (ancora) uno sfruttamento noto nel mondo reale, il percorso dell’attacco è inquietantemente semplice: indurre un utente privilegiato ad avviare una connessione desktop remoto verso un server fraudolento. Ciò può avvenire tramite phishing, ingegneria sociale o tecniche di movimento laterale. Una volta stabilita la connessione, il server malevolo può sfruttare vulnerabilità di tipo relative path traversal per superare i limiti delle cartelle ed eseguire codice arbitrario sulla macchina client, senza che sia necessaria alcuna elevazione dei privilegi.

Strategie di mitigazione e come Devolutions può aiutare

In Devolutions crediamo in una sicurezza proattiva e stratificata, che non appesantisca i team con complessità inutili. Ecco alcuni dei modi in cui aiutiamo le organizzazioni a ridurre la propria esposizione a vulnerabilità come CVE-2025-48817:

• Applicare il principio del privilegio minimo con Devolutions PAM: implementare l’accesso just-in-time, limitare la durata delle sessioni e definire chi ottiene l’accesso RDP, e quando. Tutte le sessioni privilegiate vengono registrate e possono essere sottoposte ad audit.

• Centralizzare l’audit RDP e ottenere piena visibilità su tutte le sessioni remote con Remote Desktop Manager: monitorare ogni tentativo di connessione e bloccare/isolare/rivedere l’accesso in base a ruolo, origine e destinazione.

• Stabilire un’architettura zero trust e la segmentazione della rete: le nostre soluzioni supportano l’architettura zero trust convalidando ogni sessione prima che venga avviata. Se utilizzate insieme alla segmentazione della rete, le soluzioni impediscono anche i movimenti laterali non autorizzati e bloccano le connessioni verso endpoint RDP non attendibili.

• Evitare l’uso diretto di client vulnerabili: eliminare la necessità per gli utenti di connettersi direttamente utilizzando client RDP Microsoft vulnerabili, instradando le sessioni remote sicure tramite Devolutions Gateway, jump host o proxy di Remote Desktop Manager. Ciò consente di chiudere una lacuna critica nella superficie di attacco.

• Formare gli utenti finali: gli attacchi di phishing e ingegneria sociale stanno diventando molto più realistici con l’avvento dell’IA, e gli utenti finali devono far parte della soluzione di cybersecurity, altrimenti rischiano di diventare inconsapevolmente parte del problema. I responsabili sono avvertiti di non presumere che il proprio personale sia formato e consapevole. L’errore umano è un fattore presente nel 68% delle violazioni dei dati, e le organizzazioni che conducono simulazioni di phishing registrano una riduzione del 70% della vulnerabilità degli utenti finali agli attacchi di phishing nell’arco di sei mesi.

Considerazioni finali

CVE-2025-48817 non è la prima vulnerabilità legata a RDP, e purtroppo non sarà certamente l’ultima. Tuttavia, offre un’occasione preziosa per rivalutare i controlli sull’accesso remoto. Con le soluzioni Devolutions in atto, le organizzazioni possono ridurre la propria superficie di attacco, monitorare le attività privilegiate e applicare una solida governance degli accessi, prima che gli attori delle minacce possano sfruttare una falla appena scoperta.