24 KiB
安全资讯日报 2025-05-11
本文由AI自动生成，基于对安全相关仓库、CVE和最新安全研究成果的自动化分析。
更新时间：2025-05-11 05:07:59
今日资讯
🔍 漏洞分析
- 美政府供应商巨头 Conduent 确认客户数据在一月份的网络攻击中泄露
- 从勒索到溯源：一次完整的Windows+MSSQL安全取证记录
- CVE-2025-29774/CVE-2025-29775: xml-crypto XML Signature Wrapping
- CVE-2025-24071：通过 RAR/ZIP 提取和 .library-ms 文件泄露 NTLM 哈希值
🎯 威胁情报
📚 最佳实践
- Android7至16系统PMS提升开机速度优化解决方案
- NIST SP 800-53 重点内容介绍
- 网络安全行业，数据安全风险评估的“指南针”来了！
- 干货原创实网攻防演习常态化，会带来什么变化01
- 中国人民银行发布《中国人民银行业务领域数据安全管理办法》（附全文）
- 天津市数据局 市财政局关于印发《天津市算力券实施方案（试行）》的通知
- 美国防部拟加强采购软件安全验证：提高供应链可见性 禁止过时软件
- 微软加强欧盟数据中心建设，重点关注网络安全
🍉 吃瓜新闻
📌 其他
安全分析
(2025-05-11)
本文档包含 AI 对安全相关内容的自动化分析结果。概览
CVE-2025-32433 - Erlang SSH服务远程代码执行
📌 漏洞信息
| 属性 | 详情 |
|---|---|
| CVE编号 | CVE-2025-32433 |
| 风险等级 | CRITICAL |
| 利用状态 | 漏洞利用可用 |
| 发布时间 | 2025-05-10 00:00:00 |
| 最后更新 | 2025-05-10 16:43:02 |
📦 相关仓库
💡 分析概述
该仓库提供了一个针对CVE-2025-32433的PoC和相关资源。仓库包含一个Docker文件用于构建易受攻击的Erlang SSH服务器，以及一个Python脚本作为PoC，用于在未经身份验证的情况下执行命令。代码提交历史包括：最初的README.md文件，描述了PoC。提交记录修改了ssh_server.erl中的身份验证逻辑，将pwdfun设置为总是返回false。增加了CVE-2025-32433.py，即实际的PoC脚本。PoC脚本通过构造SSH握手，发送SSH_MSG_CHANNEL_OPEN和SSH_MSG_CHANNEL_REQUEST，实现在未认证状态下执行命令，进而写入文件。由于PoC提供了完整的利用代码，且能够实现远程代码执行，因此该漏洞具有很高的价值。
漏洞的利用方式是构造恶意的SSH消息，绕过认证，执行任意命令。
🔍 关键发现
| 序号 | 发现内容 |
|---|---|
| 1 | 未授权的远程代码执行 |
| 2 | 利用SSH协议漏洞 |
| 3 | 提供完整的PoC代码 |
| 4 | 影响范围明确，针对Erlang SSH服务 |
🛠️ 技术细节
漏洞利用了SSH协议中的认证绕过漏洞。
PoC构造了特定的SSH消息序列，例如SSH_MSG_CHANNEL_OPEN 和 SSH_MSG_CHANNEL_REQUEST，并发送到易受攻击的SSH服务器。
通过发送恶意的SSH消息,可以实现在未授权的情况下执行命令。
🎯 受影响组件
• Erlang SSH 服务
⚡ 价值评估
展开查看详细评估
该漏洞提供了完整的PoC，可以实现未授权的远程代码执行。影响范围明确，直接针对Erlang SSH服务，具有高风险。
CVE-2024-25600 - WordPress Bricks Builder RCE漏洞
📌 漏洞信息
| 属性 | 详情 |
|---|---|
| CVE编号 | CVE-2024-25600 |
| 风险等级 | CRITICAL |
| 利用状态 | 漏洞利用可用 |
| 发布时间 | 2025-05-10 00:00:00 |
| 最后更新 | 2025-05-10 16:31:15 |
📦 相关仓库
💡 分析概述
该仓库提供了针对WordPress Bricks Builder插件的CVE-2024-25600漏洞的利用代码。仓库包含一个Python脚本(exploit.py)，用于检测目标WordPress站点是否易受攻击，提取nonce值，并提供一个交互式shell以执行任意命令。
最新提交修改了README.md，更新了仓库描述，增加了关于漏洞和利用的详细信息，包括漏洞的描述、利用方法、使用说明、免责声明等。还提供了下载exploit的链接，以及对漏洞的总结性描述，以及如何利用该漏洞。
🔍 关键发现
| 序号 | 发现内容 |
|---|---|
| 1 | WordPress Bricks Builder插件存在未授权RCE漏洞(CVE-2024-25600) |
| 2 | 利用该漏洞可在目标WordPress站点执行任意代码 |
| 3 | 该仓库提供了一个可用的Python脚本用于漏洞利用 |
| 4 | 漏洞影响Bricks Builder 1.9.6及以下版本 |
🛠️ 技术细节
漏洞位于Bricks Builder插件的/wp-json/bricks/v1/render_element端点
利用该端点未授权执行任意PHP代码
利用方法是构造恶意请求，触发异常，从而执行恶意代码
通过交互式shell执行命令, 提供了whoami等命令测试
🎯 受影响组件
• WordPress Bricks Builder
• Bricks Builder <= 1.9.6
⚡ 价值评估
展开查看详细评估
该漏洞为RCE漏洞，且有明确的利用代码和利用方法，影响广泛使用的WordPress插件，可以远程执行任意命令。
CVE-2025-4403 - WooCommerce插件任意文件上传漏洞
📌 漏洞信息
| 属性 | 详情 |
|---|---|
| CVE编号 | CVE-2025-4403 |
| 风险等级 | HIGH |
| 利用状态 | POC可用 |
| 发布时间 | 2025-05-10 00:00:00 |
| 最后更新 | 2025-05-10 16:25:38 |
📦 相关仓库
💡 分析概述
该GitHub仓库包含了针对WooCommerce插件Drag and Drop Multiple File Upload <= 1.1.6版本中存在的任意文件上传漏洞的分析和利用代码。仓库的核心功能是提供了一个Python脚本(CVE-2025-4403.py)，该脚本用于自动化利用该漏洞。README.md文件详细介绍了漏洞信息、CVSS向量、利用脚本的使用方法和安装步骤。漏洞的根本原因是插件在处理上传文件时，未对文件类型和扩展名进行严格的验证，导致攻击者可以上传任意文件，最终可能导致远程代码执行(RCE)。
代码变更分析：
- CVE-2025-4403.py (added): 增加了完整的Python脚本用于检测和利用漏洞。该脚本首先获取nonce值和cookie，然后构造上传请求，尝试上传恶意文件(index.php.)。如果上传成功，则会在目标服务器上创建一个可访问的php文件，攻击者可以通过访问该文件实现RCE。
- CVE-2025-4403.py (modified): 修改了上传文件的MIME类型，从application/x-php改为了image/jpeg，这可能是为了绕过某些WAF或安全机制。 这种改变降低了利用的成功率。
- README.md (added): 增加了漏洞的详细描述、CVSS信息，以及脚本的使用方法和安装说明。
- README.md (modified): 删除了“Exploit Script”部分，更新了使用说明。
漏洞利用方式：
- 构造上传请求：攻击者构造POST请求到
wp-admin/admin-ajax.php，请求的action为dnd_codedropz_upload_wc。 - 设置参数：设置
_ajax_nonce、supported_type和size_limit等参数。其中_ajax_nonce的值需要从目标站点的JS代码中提取。 - 上传恶意文件：上传精心构造的恶意文件（例如包含php代码的index.php.文件，绕过文件名验证），并设置合适的Content-Type。
- 执行代码：如果上传成功，攻击者可以通过访问上传后的文件(一般在wp-content/uploads/wc_drag-n-drop_uploads/tmp_uploads/)，执行php代码，实现RCE。
🔍 关键发现
| 序号 | 发现内容 |
|---|---|
| 1 | WooCommerce插件存在任意文件上传漏洞 |
| 2 | 未经身份验证的攻击者可以上传任意文件 |
| 3 | 可能导致远程代码执行(RCE) |
| 4 | 提供了可用的Python POC脚本 |
| 5 | 影响版本：<= 1.1.6 |
🛠️ 技术细节
漏洞原理：WooCommerce插件Drag and Drop Multiple File Upload插件在处理文件上传时，未对文件类型和文件扩展名进行严格的验证，导致攻击者可以上传任意文件。
利用方法：攻击者构造POST请求到admin-ajax.php，上传恶意文件，实现RCE。
修复方案：升级到1.1.6以上版本，或者对上传文件进行严格的类型和扩展名验证。
🎯 受影响组件
• Drag and Drop Multiple File Upload for WooCommerce <= 1.1.6
⚡ 价值评估
展开查看详细评估
该漏洞允许未授权用户上传任意文件，可能导致远程代码执行(RCE)。 提供了可用的POC，且影响广泛使用的WooCommerce插件。漏洞描述清晰，有明确的利用方法。
CVE-2025-0411 - 7-Zip MotW Bypass漏洞
📌 漏洞信息
| 属性 | 详情 |
|---|---|
| CVE编号 | CVE-2025-0411 |
| 风险等级 | HIGH |
| 利用状态 | POC可用 |
| 发布时间 | 2025-05-10 00:00:00 |
| 最后更新 | 2025-05-10 16:18:48 |
📦 相关仓库
💡 分析概述
该仓库提供了 CVE-2025-0411 漏洞的 POC。 仓库展示了 7-Zip 的 MotW (Mark of the Web) 绕过漏洞，允许恶意文件在没有安全警告的情况下执行。通过双重压缩和欺骗用户点击恶意文件来利用此漏洞。 最新提交修改了README.md文件，更新了链接，增加了关于POC的介绍和使用说明。 之前的提交包含漏洞描述、易受攻击版本信息、缓解措施和POC实现细节，描述了如何通过构造特定压缩包绕过MotW保护，以及利用该漏洞执行任意代码的流程。 漏洞利用方式是通过构造恶意的7z压缩包，当用户解压并运行压缩包内的文件时，可以绕过系统的安全警告，执行恶意代码。
🔍 关键发现
| 序号 | 发现内容 |
|---|---|
| 1 | 7-Zip 软件的 MotW 绕过漏洞。 |
| 2 | 通过构造恶意压缩包，绕过安全警告执行任意代码。 |
| 3 | 需要用户交互 (打开恶意文件)。 |
| 4 | 影响 7-Zip 的多个版本。 |
🛠️ 技术细节
漏洞原理：7-Zip 在处理压缩文件时，没有正确地将 MotW 属性传播到解压后的文件，从而允许执行未受信任的文件。
利用方法：构造一个双重压缩的 7-Zip 压缩文件。诱导用户打开该文件，解压并运行其中的恶意可执行文件。
修复方案：升级到 7-Zip 24.09 或更高版本，避免打开来自未知或不可信来源的压缩文件。
🎯 受影响组件
• 7-Zip
⚡ 价值评估
展开查看详细评估
该漏洞涉及远程代码执行 (RCE)，且有明确的利用方法和 POC。 漏洞影响广泛使用的 7-Zip 软件，并可能导致严重的安全风险。
CVE-2025-24813 - Apache Tomcat RCE漏洞
📌 漏洞信息
| 属性 | 详情 |
|---|---|
| CVE编号 | CVE-2025-24813 |
| 风险等级 | CRITICAL |
| 利用状态 | 漏洞利用可用 |
| 发布时间 | 2025-05-10 00:00:00 |
| 最后更新 | 2025-05-10 16:04:29 |
📦 相关仓库
💡 分析概述
该仓库提供了一个针对Apache Tomcat的RCE漏洞(CVE-2025-24813)的PoC。整体来看，该仓库包含一个Python脚本(CVE_2025_24813.py)，该脚本用于探测并利用Tomcat的漏洞。脚本实现了以下功能：1. 检查目标服务器是否可写，通过PUT请求尝试写入文件。2. 生成ysoserial payload，生成用于RCE的序列化payload。支持多种gadget。3. 上传payload并验证，将payload上传到服务器特定路径，并通过GET请求触发反序列化。脚本提供了命令行参数，可以指定目标URL，命令，ysoserial路径和gadget等。更新的内容是增加了Subproject commit。根据提供的描述，该PoC针对CVE-2025-24813的RCE漏洞。利用方式是通过上传精心构造的序列化payload到Tomcat服务器，触发反序列化，最终导致远程代码执行。
🔍 关键发现
| 序号 | 发现内容 |
|---|---|
| 1 | Apache Tomcat 远程代码执行漏洞 |
| 2 | PoC代码可用 |
| 3 | 利用上传序列化payload |
| 4 | 依赖ysoserial |
🛠️ 技术细节
漏洞原理：通过上传序列化payload到Tomcat服务器，触发反序列化，最终导致远程代码执行
利用方法：利用PUT请求上传恶意构造的session文件，然后通过访问该文件触发反序列化，从而执行任意命令。
修复方案：升级到最新版本的Tomcat。
🎯 受影响组件
• Apache Tomcat
⚡ 价值评估
展开查看详细评估
该漏洞允许远程代码执行，且PoC代码已提供。影响了广泛使用的Apache Tomcat，且存在明确的利用方法。
CVE-2025-20188 - Cisco IOS XE WLC 远程代码执行
📌 漏洞信息
| 属性 | 详情 |
|---|---|
| CVE编号 | CVE-2025-20188 |
| 风险等级 | CRITICAL |
| 利用状态 | 漏洞利用可用 |
| 发布时间 | 2025-05-10 00:00:00 |
| 最后更新 | 2025-05-10 14:54:44 |
📦 相关仓库
💡 分析概述
该仓库提供了CVE-2025-20188的详细信息，这是一个针对Cisco IOS XE WLC的远程代码执行漏洞。仓库的README.md文档详细描述了漏洞的原理、利用方法和影响版本。该漏洞允许未经身份验证的攻击者通过硬编码的JWT利用“Out-of-Band AP Image Download”功能上传任意文件并以root权限执行命令。最新提交更新了README.md，提供了漏洞的详细描述，包括CVSSv3评分、受影响的组件、漏洞摘要、利用方法等，并提供了可用的POC下载链接，POC经过测试可以在IOS XE 17.11.2上成功利用。之前的提交仅创建了README.md文件。漏洞利用方式：攻击者发送一个HTTPS POST请求到AP Image Download端点，使用硬编码的JWT，上传恶意文件或webshell，从而触发代码执行。
🔍 关键发现
| 序号 | 发现内容 |
|---|---|
| 1 | 未经身份验证的远程代码执行 |
| 2 | 利用硬编码JWT绕过身份验证 |
| 3 | 攻击者可上传任意文件并以root权限执行命令 |
| 4 | 影响Cisco IOS XE WLC的关键功能 |
| 5 | 提供可用的POC和利用方法 |
🛠️ 技术细节
漏洞原理：Cisco IOS XE WLC的“Out-of-Band AP Image Download”功能使用硬编码的JWT进行身份验证，攻击者可以利用该JWT绕过身份验证。
利用方法：构造HTTPS POST请求到AP Image Download端点，使用硬编码的JWT上传恶意文件。上传的文件将被执行，实现远程代码执行。
修复方案：升级到修复版本17.12.1a或更高版本。
🎯 受影响组件
• Cisco IOS XE Software for Wireless LAN Controllers (WLC) with Out-of-Band AP Image Download enabled
⚡ 价值评估
展开查看详细评估
该漏洞影响广泛使用的Cisco设备，且存在明确的利用方法和POC，能够实现远程代码执行，风险等级为CRITICAL。
CVE-2024-21533 - ggit库存在参数注入漏洞
📌 漏洞信息
| 属性 | 详情 |
|---|---|
| CVE编号 | CVE-2024-21533 |
| 风险等级 | HIGH |
| 利用状态 | POC可用 |
| 发布时间 | 2025-05-10 00:00:00 |
| 最后更新 | 2025-05-10 14:48:58 |
📦 相关仓库
💡 分析概述
该CVE描述了ggit npm包中的一个参数注入漏洞。ggit是一个用于封装本地git命令的库。根据提供的README.md文件，该漏洞存在于ggit的clone() API中，该API允许用户指定要克隆的远程URL和目标目录。由于ggit没有对用户输入进行适当的验证和清理，特别是没有正确处理命令行参数，攻击者可以利用--upload-pack选项注入恶意命令。最近的两次提交分别更新了README.md，修改了文章链接，并创建了README.md文件，详细说明了漏洞、利用方式和POC。漏洞利用POC: 攻击者可以通过构造恶意的URL来触发命令执行，例如使用--upload-pack=$(touch /tmp/pwned)来创建文件。
🔍 关键发现
| 序号 | 发现内容 |
|---|---|
| 1 | ggit库的clone() API存在参数注入漏洞 |
| 2 | 攻击者可以通过构造恶意URL执行任意命令 |
| 3 | 漏洞影响ggit@2.4.12及更早版本 |
| 4 | 已提供POC，验证漏洞存在 |
🛠️ 技术细节
漏洞原理: ggit的clone() API未对用户提供的URL进行充分的验证和过滤，导致攻击者可以注入恶意命令。
利用方法: 攻击者构造恶意的URL，在URL中利用--upload-pack选项执行任意命令。例如: --upload-pack=$(touch /tmp/pwned)
修复方案: 升级到已修复的版本或在clone() API中对用户输入进行严格的验证和过滤，确保安全地传递命令行参数。
🎯 受影响组件
• ggit npm包
• ggit 2.4.12及更早版本
⚡ 价值评估
展开查看详细评估
该漏洞存在POC，且利用方式明确，可以导致远程代码执行，故为高危漏洞。
CVE-2024-21532 - ggit库命令注入漏洞
📌 漏洞信息
| 属性 | 详情 |
|---|---|
| CVE编号 | CVE-2024-21532 |
| 风险等级 | CRITICAL |
| 利用状态 | POC可用 |
| 发布时间 | 2025-05-10 00:00:00 |
| 最后更新 | 2025-05-10 14:48:45 |
📦 相关仓库
💡 分析概述
该项目是针对CVE-2024-21532漏洞的PoC代码库，该漏洞存在于ggit npm包中，具体为命令注入漏洞。该PoC代码库提供了漏洞的复现方式，通过调用ggit库的fetchTags(branch) API，构造恶意输入，触发命令注入。 项目创建者为Liran Tal，代码库中包含详细的README.md文档，详细解释了漏洞原理、利用方式和PoC代码。 最新提交修改了README.md文档中的链接。根据提供的PoC，该漏洞允许攻击者通过构造恶意的输入，在服务器上执行任意命令，影响较大。
🔍 关键发现
| 序号 | 发现内容 |
|---|---|
| 1 | ggit库存在命令注入漏洞 |
| 2 | fetchTags API 存在安全风险 |
| 3 | 提供PoC代码，可复现漏洞 |
| 4 | 漏洞影响：攻击者可执行任意命令 |
| 5 | 影响版本：ggit@2.4.12及更早版本 |
🛠️ 技术细节
漏洞原理：ggit库的fetchTags函数拼接用户可控的输入到git命令中，未对输入进行过滤，导致命令注入。
利用方法：通过执行
fetchTags("; touch /tmp/3cpo #")触发命令注入，在服务器上创建文件。
修复方案：对传入fetchTags函数的参数进行严格的过滤和转义，或者使用安全的exec函数。
🎯 受影响组件
• ggit npm包
⚡ 价值评估
展开查看详细评估
该漏洞提供了可用的PoC，能够直接复现远程代码执行漏洞，危害严重。
CVE-2025-31324 - SAP Visual Composer 文件上传漏洞
📌 漏洞信息
| 属性 | 详情 |
|---|---|
| CVE编号 | CVE-2025-31324 |
| 风险等级 | HIGH |
| 利用状态 | POC可用 |
| 发布时间 | 2025-05-10 00:00:00 |
| 最后更新 | 2025-05-10 19:27:30 |
📦 相关仓库
💡 分析概述
该仓库提供了针对SAP NetWeaver Visual Composer Metadata Uploader 7.50的PoC。PoC是一个Python脚本，允许上传本地文件到目标服务器的/developmentserver/metadatauploader端点。通过分析最新提交，可以发现添加了CVE-2025-31324.py PoC文件和README.md文件。 PoC脚本使用requests库发送POST请求来上传文件。该漏洞允许攻击者上传恶意文件，可能导致远程代码执行。 README.md文件提供了PoC的使用说明。 该 PoC 具有实际利用价值。
🔍 关键发现
| 序号 | 发现内容 |
|---|---|
| 1 | SAP NetWeaver Visual Composer 7.50 存在漏洞 |
| 2 | PoC 允许上传任意文件 |
| 3 | 可能导致远程代码执行 |
| 4 | PoC 代码已公开 |
🛠️ 技术细节
漏洞位于 SAP NetWeaver Visual Composer Metadata Uploader 7.50
通过向/developmentserver/metadatauploader 端点发送POST请求上传文件进行利用
上传的文件未进行有效验证，可能导致代码执行
修复方案：升级到修复版本，或者对上传文件进行严格的验证
🎯 受影响组件
• SAP NetWeaver Visual Composer 7.50
⚡ 价值评估
展开查看详细评估
该漏洞影响广泛使用的SAP系统，且有明确的PoC代码，可以实现文件上传，存在远程代码执行的风险。
免责声明
本文内容由 AI 自动生成，仅供参考和学习交流。文章中的观点和建议不代表作者立场，使用本文信息需自行承担风险和责任。