【漏洞预警】CISA新增8个已知遭骇客利用之漏洞至KEV目录(2025/04/28-2025/05/04)

转发 台湾电脑网路危机处理暨协调中心 TWCERTCC-200-202505-00000002

1.【CVE-2025-1976】Broadcom Brocade Fabric OS Code Injection Vulnerability (CVSS v3.1: 6.7) 

【是否遭勒索软体利用:未知】 Broadcom Brocade Fabric OS存在程式码注入漏洞，该漏洞允许具有管理权限的本机使用者以完整的root权限执行任意程式码。 

【影响平台】请参考官方所列的影响版本 

https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25602 

2.【CVE-2025-42599】Qualitia Active Mail Stack-Based Buffer Overflow Vulnerability (CVSS v3.1: 9.8) 

【是否遭勒索软体利用:未知】 Qualitia Active Mail存在堆叠缓冲区溢位漏洞，该漏洞允许远端未经验证的攻击者透过特制的请求执行任意程式码或触发DoS攻击。 

【影响平台】请参考官方所列的影响版本 

https://www.qualitia.com/jp/news/2025/04/18_1030.html 

3.【CVE-2025-3928】Commvault Web Server Unspecified Vulnerability (CVSS v3.1: 8.8) 

【是否遭勒索软体利用:未知】 Commvault Web Server存在安全性漏洞，该漏洞允许远端经验证的攻击者建立并执行 Web Shell。 

【影响平台】请参考官方所列的影响版本 

https://documentation.commvault.com/securityadvisories/CV_2025_03_1.html 

4.【CVE-2025-31324】SAP NetWeaver Unrestricted File Upload Vulnerability (CVSS v3.1: 9.8) 

【是否遭勒索软体利用:未知】 SAP NetWeaver Visual Composer Metadata Uploader存在不受限制的档案上传漏洞，该漏洞允许未经验证的攻击者上传可能具有恶意的可执行二进位档案。 

【影响平台】 SAP NetWeaver 7.5 

5.【CVE-2024-38475】Apache HTTP Server Improper Escaping of Output Vulnerability (CVSS v3.1: 9.1) 

【是否遭勒索软体利用:未知】 Apache HTTP Server在mod rewrite中存在不当逃逸输出漏洞，该漏洞允许攻击者将 URL映射到伺服器允许提供但原本不应被直接或有意存取的档案系统位置，可能导致程式码执行或原始码泄漏。 

【影响平台】请参考官方所列的影响版本 

https://httpd.apache.org/security/vulnerabilities_24.html 

6.【CVE-2023-44221】SonicWall SMA100 Appliances OS Command Injection Vulnerability (CVSS v3.1: 7.2) 

【是否遭勒索软体利用:未知】 SonicWall SMA100装置的SSL-VPN管理介面存在作业系统指令注入漏洞，该漏洞允许具备管理权限的远端已验证攻击者以「nobody」使用者身份注入任意指令。 

【影响平台】请参考官方所列的影响版本 

https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2023-0018 

7.【CVE-2025-34028】Commvault Command Center Path Traversal Vulnerability (CVSS v3.1: 10.0)

 【是否遭勒索软体利用:未知】 Commvault Command Center存在路径遍历漏洞，该漏洞允许远端未经验证的攻击者执行任意程式码。 

【影响平台】请参考官方所列的影响版本 

https://documentation.commvault.com/securityadvisories/CV_2025_04_1.html 

8.【CVE-2024-58136】Yiiframework Yii Improper Protection of Alternate Path Vulnerability (CVSS v3.1: 9.8) 

【是否遭勒索软体利用:未知】 Yii Framework存在对替代路径保护不当的漏洞，可能允许远端攻击者执行任意程式码。此漏洞可能影响其他采用Yii的产品，包括但不限于CVE-2025-32432所代表的Craft CMS。 

【影响平台】请参考官方所列的影响版本 

https://www.yiiframework.com/news/709/please-upgrade-to-yii-2-0-52

情资分享等级: WHITE(情资内容为可公开揭露之资讯)

烦请贵单位协助公告或转发

详细内容于内容说明栏之影响平台

1.【CVE-2025-1976】 官方已针对漏洞释出修复更新，请更新至相关版本 

https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25602 

2.【CVE-2025-42599】 官方已针对漏洞释出修复更新，请更新至相关版本 

https://www.qualitia.com/jp/news/2025/04/18_1030.html 

3.【CVE-2025-3928】 官方已针对漏洞释出修复更新，请更新至相关版本 

https://documentation.commvault.com/securityadvisories/CV_2025_03_1.html 

4.【CVE-2025-31324】 官方已针对漏洞释出修复更新，请更新至相关版本 

https://me.sap.com/notes/3594142 

5.【CVE-2024-38475】 官方已针对漏洞释出修复更新，请更新至相关版本 

https://httpd.apache.org/security/vulnerabilities_24.html 

6.【CVE-2023-44221】 官方已针对漏洞释出修复更新，请更新至相关版本 

https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2023-0018 

7.【CVE-2025-34028】 官方已针对漏洞释出修复更新，请更新至相关版本 

https://documentation.commvault.com/securityadvisories/CV_2025_04_1.html 

8.【CVE-2024-58136】 官方已针对漏洞释出修复更新，请更新至相关版本 

https://www.yiiframework.com/news/709/please-upgrade-to-yii-2-0-52