Исправление уязвимости в Paint не приходит на часть ПК с Windows 11

Сведения об ошибке компания опубликовала 13 октября в рамках ежемесячного выпуска исправлений. По шкале CVSS уязвимость получила 8,1 балла из 10, а по классификации самой Microsoft отнесена к «важным», что на ступень ниже критического уровня. Речь идёт о чтении данных за границами выделенной области памяти (out-of-bounds read). По описанию Microsoft, атака идёт по сети, без авторизации и без действий со стороны пользователя: достаточно направить уязвимой службе специально сформированный сетевой пакет. При этом сложность атаки компания оценивает как высокую, а случаев эксплуатации на момент раскрытия зафиксировано не было.

Paint получает обновления из Microsoft Store независимо от Windows Update, так что октябрьский накопительный пакет для системы уязвимость в редакторе не закрывает. Исправленной Microsoft на данный момент называет версию 11.2609.401.0. По данным Kod.ru, сначала в бюллетене стоял номер 11.2605.91.0, его заменили 2 ноября.

По словам пользователей, магазин не находит новую версию даже при ручной проверке и включённом автообновлении, и Paint остаётся на сборках 11.2603.251.0 или 11.2605.81.0. Как передаёт 3DNews со ссылкой на Windows Latest, загрузить пакет не получилось и с помощью сторонних инструментов для MSIX. Причины неизвестны, официально Microsoft ситуацию не комментировала.

Номер установленной сборки показан в настройках самого Paint, его также можно получить через командлет Get-AppxPackage в PowerShell. Согласно документации Microsoft, уязвимыми считаются сборки с номером ниже 11.2609.401.0.