关键漏洞 - HackerNews

SolarWinds 修复 Serv-U 三款高危漏洞，可被用于远程代码执行

作者: hackernews 日期: 2025-11-24 分类: 漏洞

HackerNews 编译，转载请注明出处：

SolarWinds 修复了其 Serv-U 文件传输解决方案中的三个关键漏洞，这些漏洞可能允许远程代码执行。

第一个漏洞，追踪编号为 CVE-2025-40549（CVSS 评分 9.1），是一个影响 Serv-U 的路径限制绕过问题。拥有管理员权限的攻击者可利用此漏洞在目录上执行代码。公告中写道："Serv-U 中存在一个路径限制绕过漏洞，若被滥用，可能使拥有管理员权限的恶意行为者具备在目录上执行代码的能力。""滥用此问题需要管理员权限。在 Windows 系统上，由于路径和主目录处理方式的差异，该漏洞评级为中等。"

该公司修复的第二个漏洞，追踪编号为 CVE-2025-40548（CVSS 评分 9.1），是一个访问控制缺陷，可导致远程代码执行漏洞。公告中写道："Serv-U 中存在一个缺失的验证过程，若被滥用，可能使拥有管理员权限的恶意行为者具备执行代码的能力。""滥用此问题需要管理员权限。在 Windows 部署环境中，由于服务默认通常在权限较低的服务账户下运行，该风险被评为中等。SolarWinds 指出，CVE-2025-40547 和 CVE-2025-40548 在 Windows 系统上仅具有中等严重性，因为受影响的服务通常在低权限账户下运行。

第三个漏洞，CVE-2025-40547（CVSS 评分 9.1），是 Serv-U 中的一个逻辑错误漏洞。拥有管理员权限的攻击者可利用此漏洞执行任意代码。这些漏洞影响 SolarWinds Serv-U 15.5.2.2.102 版本，该公司已发布 15.5.3 版本来解决这些问题。

...

一个影响 Firefox 和 Firefox Extended Support Release (ESR) 的关键安全漏洞已被恶意利用

作者: 内容转载日期: 2024-10-10 分类: 网络安全, 漏洞

Mozilla 透露，一个影响 Firefox 和 Firefox Extended Support Release (ESR) 的关键安全漏洞已被恶意利用。

...

黑客正在利用 Zyxel 防火墙和 VPN 中的关键漏洞

作者: 内容转载日期: 2022-05-17 分类: 黑客事件

黑客已开始利用最近修补的关键漏洞，漏洞编号为CVE-2022-30525，该漏洞会影响企业的 Zyxel防火墙和VPN设备。如成功利用则允许远程攻击者在没有身份验证的情况下远程注入任意命令，从而可以设置反向shell。该漏洞是由Rapid7的首席安全研究员Jacob Baines发现的，他在一份简短的技术报告中解释了如何在攻击中利用该漏洞。Jacob Baines说，“命令以nobody用户身份执行。此漏洞通过利用/ztp/cgi-bin/handler UR，这会导致未经验证的攻击者在lib_wan_settings.py中输入os.system。”研究人员指出，攻击者可以使用普通的bash GTFOBin建立反向shell 。

...