【漏洞预警】CISA新增7个已知遭骇客利用之漏洞至KEV目录(2025/05/19-2025/05/25)

转发 台湾电脑网路危机处理暨协调中心 TWCERTCC-200-202505-00000022

1.【CVE-2023-38950】ZKTeco BioTime Path Traversal Vulnerability (CVSS v3.1: 7.5)
【是否遭勒索软体利用:未知】 ZKTeco BioTime在其iclock API中存在路径遍历漏洞，该漏洞允许未经身份验证的攻击者透过提供特制的有效负载读取任意档案。
【影响平台】请参考官方所列的影响版本
https://www.zkteco.com/en/Security_Bulletinsibs/10

2.【CVE-2024-27443】Synacor Zimbra Collaboration Suite (ZCS) Cross-Site Scripting (XSS) Vulnerability (CVSS v3.1: 6.1)
【是否遭勒索软体利用:未知】 Zimbra Collaboration在Zimbra Webmail经典使用者介面的CalendarInvite功能中存在跨网站指令码漏洞。攻击者可透过包含特制的行事历标头的电子邮件讯息利用此漏洞，导致执行任意JavaScript程式码。
【影响平台】请参考官方所列的影响版本
https://wiki.zimbra.com/wiki/Zimbra_Releases/10.0.7#Security_Fixes
https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P39#Security_Fixes

3.【CVE-2025-27920】Srimax Output Messenger Directory Traversal Vulnerability (CVSS v3.1: 6.5)
【是否遭勒索软体利用:未知】 Srimax Output Messenger存在目录遍历漏洞，该漏洞允许攻击者存取目标目录以外的敏感档案，可能导致组态泄漏或任意档案存取。
【影响平台】请参考官方所列的影响版本

CVE-2025-27920

4.【CVE-2024-11182】MDaemon Email Server Cross-Site Scripting (XSS) Vulnerability (CVSS v3.1: 6.1)
【是否遭勒索软体利用:未知】 MDaemon电子邮件伺服器存在跨网站指令码漏洞，该漏洞允许远端攻击者透过HTML电子邮件载入任意JavaScript程式码。
【影响平台】请参考官方所列的影响版本
https://mdaemon.com/pages/downloads-critical-updates

5.【CVE-2025-4428】Ivanti Endpoint Manager Mobile (EPMM) Code Injection Vulnerability (CVSS v3.1: 8.8)
【是否遭勒索软体利用:未知】 Ivanti Endpoint Manager Mobile (EPMM) 的API元件中存在程式码注入漏洞，该漏洞允许经身份验证的攻击者透过特制的API请求远端执行任意程式码。此漏洞源于对Hibernate Validator开源函式库的不安全实作。
【影响平台】请参考官方所列的影响版本
https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM?language=en_US

6.【CVE-2025-4427】Ivanti Endpoint Manager Mobile (EPMM) Authentication Bypass Vulnerability (CVSS v3.1: 7.5)
【是否遭勒索软体利用:未知】 Ivanti Endpoint Manager Mobile(EPMM)的API元件中存在身份验证绕过漏洞，该漏洞允许攻击者透过特制的API请求，在未提供适当凭证的情况下存取受保护的资源。此漏洞源于对Spring Framework开源函式库的不安全实作。
【影响平台】请参考官方所列的影响版本
https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM?language=en_US

7.【CVE-2025-4632】Samsung MagicINFO 9 Server Path Traversal Vulnerability (CVSS v3.1: 9.8)
【是否遭勒索软体利用:未知】 Samsung MagicINFO 9 Server存在路径遍历漏洞，该漏洞允许攻击者以系统权限写入任意档案。
【影响平台】请参考官方所列的影响版本
https://security.samsungtv.com/securityUpdates#SVP-MAY-2025

情资分享等级: WHITE(情资内容为可公开揭露之资讯)

烦请贵单位协助公告或转发

详细内容于内容说明栏之影响平台

1.【CVE-2023-38950】 官方已针对漏洞释出修复更新，请更新至相关版本
https://www.zkteco.com/en/Security_Bulletinsibs/10

2.【CVE-2024-27443】 官方已针对漏洞释出修复更新，请更新至相关版本
https://wiki.zimbra.com/wiki/Zimbra_Releases/10.0.7#Security_Fixes
https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P39#Security_Fixes

3.【CVE-2025-27920】 官方已针对漏洞释出修复更新，请更新至相关版本

CVE-2025-27920

4.【CVE-2024-11182】 官方已针对漏洞释出修复更新，请更新至相关版本
https://mdaemon.com/pages/downloads-critical-updates

5.【CVE-2025-4428】 官方已针对漏洞释出修复更新，请更新至相关版本
https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM?language=en_US

6.【CVE-2025-4427】 官方已针对漏洞释出修复更新，请更新至相关版本
https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM?language=en_US

7.【CVE-2025-4632】 官方已针对漏洞释出修复更新，请更新至相关版本
https://security.samsungtv.com/securityUpdates#SVP-MAY-2025