CVE-2025-13052: CWE-295 ASUSTOR ADM 中不正确的证书验证

严重性: 高 类型: 漏洞

CVE-2025-13052

当用户将通知的发送者设置为通过 msmtp 向 SMTP 服务器发送电子邮件时，未正确验证的 TLS/SSL 证书允许能够拦截 SMTP 客户端和服务器之间网络流量的攻击者执行中间人（MITM）攻击，这可能获取 SMTP 的敏感信息。

受影响的产品和版本包括：从 ADM 4.1.0 到 ADM 4.3.3.RKD2，以及从 ADM 5.0.0 到 ADM 5.1.0.RN42。

AI分析

技术摘要

CVE-2025-13052 是一个被归类为 CWE-295（不正确的证书验证）的漏洞，影响 ASUSTOR ADM 网络附加存储（NAS）设备。当用户配置通知功能以使用 msmtp 客户端通过 SMTP 服务器发送电子邮件时，此缺陷就会出现。该漏洞源于 ADM 软件在建立安全连接期间未能正确验证 SMTP 服务器提供的 TLS/SSL 证书。这种不正确的验证允许能够拦截网络流量（例如在同一本地网络上或通过被入侵的路由器）的攻击者执行中间人（MITM）攻击。通过这种 MITM 攻击，攻击者可以解密或操纵 SMTP 流量，可能捕获敏感信息，包括 SMTP 凭据、电子邮件内容或通知详细信息。受影响的 ADM 版本范围从 4.1.0 到 4.3.3.RKD2 以及 5.0.0 到 5.1.0.RN42。该漏洞不需要任何身份验证或用户交互，因此在可以拦截网络流量的环境中更容易被利用。CVSS 4.0 向量指标显示网络攻击向量 (AV:N)、低攻击复杂度 (AC:L)、部分攻击类型 (AT:P)、无需权限 (PR:N)、无需用户交互 (UI:N)、低机密性影响 (VC:L)、无完整性或可用性影响，以及高范围影响 (S:H)，最终总体严重性得分为 7（高）。目前尚未报告公开的利用程序，但该漏洞对 SMTP 通信的机密性构成了重大风险。在报告时，厂商尚未发布补丁，需要立即采取缓解措施以减少暴露风险。

潜在影响

对于欧洲组织而言，此漏洞对从 ASUSTOR ADM 设备发送的 SMTP 凭据和电子邮件通知的机密性构成重大风险。依赖这些 NAS 设备发送系统警报或自动电子邮件通知的组织，如果攻击者拦截 SMTP 流量，其敏感信息可能会被暴露。如果攻击者利用获取的凭据访问邮件服务器或在网络内横向移动，则可能导致进一步的危害。使用 ASUSTOR ADM 设备进行监控或警报的金融、医疗保健、政府和关键基础设施等部门尤其面临风险。在网络分段不足或未强制执行加密流量检查的环境中，影响会加剧。此外，拥有远程或混合工作模式的组织可能会通过安全性较低的网络传输 SMTP 流量，从而扩大了攻击面。该漏洞不直接影响完整性或可用性，但可通过凭据盗窃和信息披露促进更广泛的攻击。

缓解建议

1. 监控 ASUSTOR 的官方渠道以获取解决 CVE-2025-13052 的补丁，并在可用后立即应用。
2. 在发布补丁之前，如果可行，请禁用使用 msmtp 进行 SMTP 电子邮件发送的通知功能。
3. 如果电子邮件通知必不可少，请手动配置 msmtp 或 SMTP 客户端以强制执行严格的证书验证，确保仅接受受信任的证书。
4. 采用网络分段将 NAS 设备与不受信任的网络隔离，并仅将 SMTP 服务器的访问权限限制给受信任的主机。
5. 对 SMTP 流量使用 VPN 或加密隧道，以防止在不安全的网络上被拦截。
6. 实施网络监控和入侵检测系统，以识别表明 MITM 攻击尝试的异常 SMTP 流量模式。
7. 教育管理员有关使用默认或弱 TLS 配置的风险，并鼓励定期审查设备配置。
8. 如果支持，考虑部署不完全依赖 TLS 加密的 SMTP 身份验证机制，例如 OAuth 或基于令牌的身份验证。
9. 定期审计和轮换 ADM 设备使用的 SMTP 凭据，以限制万一泄露时的暴露持续时间。

受影响国家 德国、法国、英国、荷兰、意大利、西班牙

CVE-2025-13052: CWE-295 ASUSTOR ADM 中不正确的证书验证

▲0 ▼ Star 高 漏洞 CVE-2025-13052 cve cve-2025-13052 cwe-295 发布日期: 2025年12月12日星期五 (2025年12月12日, 02:30:35 UTC) 来源: CVE 数据库 V5 供应商/项目: ASUSTOR 产品: ADM

描述

当用户将通知的发送者设置为通过 msmtp 向 SMTP 服务器发送电子邮件时，未正确验证的 TLS/SSL 证书允许能够拦截 SMTP 客户端和服务器之间网络流量的攻击者执行中间人（MITM）攻击，这可能获取 SMTP 的敏感信息。

受影响的产品和版本包括：从 ADM 4.1.0 到 ADM 4.3.3.RKD2，以及从 ADM 5.0.0 到 ADM 5.1.0.RN42。

AI驱动分析 AI 最后更新: 2025年12月12日, 03:22:13 UTC

技术分析

CVE-2025-13052 是一个被归类为 CWE-295（不正确的证书验证）的漏洞，影响 ASUSTOR ADM 网络附加存储（NAS）设备。当用户配置通知功能以使用 msmtp 客户端通过 SMTP 服务器发送电子邮件时，此缺陷就会出现。该漏洞源于 ADM 软件在建立安全连接期间未能正确验证 SMTP 服务器提供的 TLS/SSL 证书。这种不正确的验证允许能够拦截网络流量（例如在同一本地网络上或通过被入侵的路由器）的攻击者执行中间人（MITM）攻击。通过这种 MITM 攻击，攻击者可以解密或操纵 SMTP 流量，可能捕获敏感信息，包括 SMTP 凭据、电子邮件内容或通知详细信息。受影响的 ADM 版本范围从 4.1.0 到 4.3.3.RKD2 以及 5.0.0 到 5.1.0.RN42。该漏洞不需要任何身份验证或用户交互，因此在可以拦截网络流量的环境中更容易被利用。CVSS 4.0 向量指标显示网络攻击向量 (AV:N)、低攻击复杂度 (AC:L)、部分攻击类型 (AT:P)、无需权限 (PR:N)、无需用户交互 (UI:N)、低机密性影响 (VC:L)、无完整性或可用性影响，以及高范围影响 (S:H)，最终总体严重性得分为 7。目前尚未报告公开的利用程序，但该漏洞对 SMTP 通信的机密性构成了重大风险。在报告时，厂商尚未发布补丁，需要立即采取缓解措施以减少暴露风险。

潜在影响

对于欧洲组织而言，此漏洞对从 ASUSTOR ADM 设备发送的 SMTP 凭据和电子邮件通知的机密性构成重大风险。依赖这些 NAS 设备发送系统警报或自动电子邮件通知的组织，如果攻击者拦截 SMTP 流量，其敏感信息可能会被暴露。如果攻击者利用获取的凭据访问邮件服务器或在网络内横向移动，则可能导致进一步的危害。使用 ASUSTOR ADM 设备进行监控或警报的金融、医疗保健、政府和关键基础设施等部门尤其面临风险。在网络分段不足或未强制执行加密流量检查的环境中，影响会加剧。此外，拥有远程或混合工作模式的组织可能会通过安全性较低的网络传输 SMTP 流量，从而扩大了攻击面。该漏洞不直接影响完整性或可用性，但可通过凭据盗窃和信息披露促进更广泛的攻击。

缓解建议

1. 监控 ASUSTOR 的官方渠道以获取解决 CVE-2025-13052 的补丁，并在可用后立即应用。
2. 在发布补丁之前，如果可行，请禁用使用 msmtp 进行 SMTP 电子邮件发送的通知功能。
3. 如果电子邮件通知必不可少，请手动配置 msmtp 或 SMTP 客户端以强制执行严格的证书验证，确保仅接受受信任的证书。
4. 采用网络分段将 NAS 设备与不受信任的网络隔离，并仅将 SMTP 服务器的访问权限限制给受信任的主机。
5. 对 SMTP 流量使用 VPN 或加密隧道，以防止在不安全的网络上被拦截。
6. 实施网络监控和入侵检测系统，以识别表明 MITM 攻击尝试的异常 SMTP 流量模式。
7. 教育管理员有关使用默认或弱 TLS 配置的风险，并鼓励定期审查设备配置。
8. 如果支持，考虑部署不完全依赖 TLS 加密的 SMTP 身份验证机制，例如 OAuth 或基于令牌的身份验证。
9. 定期审计和轮换 ADM 设备使用的 SMTP 凭据，以限制万一泄露时的暴露持续时间。

受影响国家 德国 法国 英国 荷兰 意大利 西班牙

需要更详细的分析？ 获取 Pro 专业功能 要访问高级分析和更高的速率限制，请联系 root@offseq.com

技术详情 数据版本 5.2 分配者简称 ASUSTOR1 日期预留 2025-11-12T10:01:36.262Z Cvss 版本 4.0 状态 已发布 威胁 ID: 693b86d8650da22753ea4798 添加到数据库: 2025年12月12日, 上午3:07:04 最后丰富: 2025年12月12日, 上午3:22:13 最后更新: 2025年12月12日, 上午6:28:23 浏览次数: 11

社区评论 0 条评论 众包缓解策略，共享情报背景，并对最有帮助的回应进行投票。登录以发表您的意见，帮助防御者保持领先。 排序依据 最热门 最新 最早 撰写评论

社区提示 ▼ 加载社区见解…

想要贡献缓解步骤或威胁情报背景吗？ 登录或创建帐户以加入社区讨论。

相关威胁 CVE-2025-66284: Japan Total System Co.,Ltd. GroupSession Free edition 中的跨站脚本 (XSS) 中 漏洞 2025年12月12日星期五 CVE-2025-65120: Japan Total System Co.,Ltd. GroupSession Free edition 中的跨站脚本 (XSS) 中 漏洞 2025年12月12日星期五 CVE-2025-64781: Japan Total System Co.,Ltd. GroupSession Free edition 中使用不安全默认值初始化资源 中 漏洞 2025年12月12日星期五 CVE-2025-62192: Japan Total System Co.,Ltd. GroupSession Free edition 中 SQL 命令特殊元素的不当中和（‘SQL注入’） 中 漏洞 2025年12月12日星期五 CVE-2025-61987: Japan Total System Co.,Ltd. GroupSession Free edition 中 WebSockets 中缺少来源验证 中 漏洞 2025年12月12日星期五

操作 更新 AI 分析 PRO AI 分析的更新需要 Pro 控制台访问权限。请前往 控制台 → 账单 升级。

请登录到控制台以使用 AI 分析功能。

分享 外部链接 NVD 数据库 MITRE CVE 参考 1 在 Google 上搜索

需要增强功能？ 联系 root@offseq.com 获取具有改进分析和更高速率限制的 Pro 访问权限。

最新威胁 为需要了解下一步重要事项的安全团队提供实时情报。

SEQ SIA 注册号 40203410806 Lastadijas 12 k-3, Riga, Latvia, LV-1050 价格包含增值税 (21%) 支持 radar@offseq.com +371 2256 5353 平台 仪表板 威胁 威胁地图 订阅源 API 文档 帐户控制台 支持 OffSeq.com 职业 服务 联系方式 周一至周五，09:00–18:00 (EET) 3个工作日内回复 政策与支付 § 条款与条件 ↗ 交付条款 ↺ 退货与退款 🔒 隐私政策 接受的付款方式 卡付款由 EveryPay 安全处理。 Twitter Mastodon GitHub Bluesky LinkedIn 键盘快捷键 导航 前往首页 g h 前往威胁 g t 前往地图 g m 前往订阅源 g f 前往控制台 g c 搜索与过滤器 聚焦搜索 / 切换过滤器 f 选择“所有时间”过滤器 a 清除所有过滤器 c l 刷新数据 r UI 控件 切换深色/浅色主题 t 显示键盘快捷键 ? 清除焦点/关闭模态框 Escape 辅助功能 导航到下一个项目 j 导航到上一个项目 k 激活选定项目 Enter 提示: 随时按 ? 键可切换此帮助面板。像 g h 这样的多键快捷键应按顺序按下。