CVE-2025-43875: 江森自控iSTAR Ultra、iSTAR Ultra SE设备中的OS命令注入漏洞（CWE-78）

严重性：高 类型：漏洞 CVE：CVE-2025-43875

在特定情况下，成功利用此漏洞可导致攻击者获取设备访问权限。

技术摘要

CVE-2025-43875 是一个被归类为 CWE-78 的操作系统（OS）命令注入漏洞，存在于江森自控（Johnson Controls）的 iSTAR Ultra 和 iSTAR Ultra SE 安全设备中。该缺陷存在于 Web 应用程序接口中，在特定条件下，该接口在将用户输入整合到操作系统命令之前未进行正确的清理。这种不恰当的中和机制允许拥有有限权限的认证攻击者通过注入恶意命令，将其访问权限提升至对设备的 root 级控制。该漏洞无需用户交互，并且可以通过网络远程利用，从而增加了其风险状况。

CVSS 4.0 向量指标显示：攻击途径为网络（AV:N），攻击复杂度低（AC:L），无需用户交互（UI:N），所需权限为低（PR:L），对机密性、完整性和可用性具有高影响（VC:H/VI:H/VA:H）。受影响版本除了占位符外未明确列出，暗示所有当前版本可能均受影响。目前没有公开的补丁或已知的利用方式，但该漏洞对设备控制和安全态势可能造成的严重影响是巨大的。这些设备通常用于物理访问控制系统，这意味着漏洞利用可能导致未经授权的物理访问、数据泄露或安全服务中断。

潜在影响

对于欧洲的组织而言，此漏洞同时威胁着网络安全和物理安全领域。iSTAR Ultra 设备被攻破可能允许攻击者获得 root 访问权限，从而能够操纵门禁控制系统、禁用警报或窃取敏感的安全数据。这可能导致未经授权进入安全设施、数据泄露或破坏关键基础设施。高 CVSS 分数反映了该漏洞对受影响系统的机密性、完整性和可用性的广泛影响。依赖江森自控产品的政府、金融、医疗保健和关键基础设施等行业的组织面临的风险尤其高。无需用户交互即可远程利用的能力扩大了威胁面，特别是在内部网络分段和访问控制薄弱的情况下。目前尚无已知的利用方式，这为在广泛利用发生之前采取主动缓解措施提供了一个窗口期。

缓解建议

立即核实您的江森自控 iSTAR Ultra 或 iSTAR Ultra SE 设备是否受影响，并在厂商更新发布后优先打补丁。
在补丁发布之前，仅允许受信任的管理网络访问 Web 管理界面，并使用网络分段和防火墙规则。
实施强身份验证机制，并将用户权限限制在必要的最低限度，以降低权限提升风险。
监控设备日志和网络流量，查找异常的命令执行模式或未经授权的访问尝试。
在可能的情况下，为设备管理界面实施多因素认证（MFA）。
进行定期的安全审计和渗透测试，重点关注物理安全系统。
联系江森自控支持渠道以获取更新和指导。
考虑部署经过调优以检测针对这些设备的命令注入尝试的入侵检测/防御系统（IDS/IPS）。
制定针对物理安全系统被攻破的特定事件响应计划。

受影响国家

德国、英国、法国、意大利、荷兰、西班牙、比利时、瑞典、波兰、瑞士

来源： CVE 数据库 V5 发布日期： 2025年12月24日星期三