CVE-2025-66210: CWE-78 在coollabsio Coolify中操作系统命令特殊元素中和不当（操作系统命令注入）

严重性: 严重 类型: 漏洞 CVE: CVE-2025-66210

Coolify 是一款用于管理服务器、应用程序和数据库的开源、可自托管工具。在 4.0.0-beta.451 版本之前，数据库导入功能中存在一个经过身份验证的命令注入漏洞，允许拥有应用程序/服务管理权限的用户在托管服务器上以 root 身份执行任意命令。导入操作中使用的数据库名称未经净化直接传递给 shell 命令，从而实现了完全的远程代码执行。版本 4.0.0-beta.451 修复了此问题。

技术总结

CVE-2025-66210 是一个被归类为 CWE-78 的操作系统命令注入漏洞，发现于 coollabsio 的开源服务器管理工具 Coolify 中。该漏洞存在于 4.0.0-beta.451 之前版本的数据库导入功能内。具体来说，在导入数据库时，数据库名称未经适当的净化或特殊字符中和，被直接合并到 shell 命令中。这种不当的处理方式使得拥有应用程序或服务管理权限的经过身份验证的用户能够注入任意 shell 命令。由于这些命令在托管服务器上以 root 权限执行，攻击者可以实现完全的远程代码执行。该漏洞无需用户交互，并且可以通过网络远程利用，前提是攻击者在应用程序中拥有必要的管理权限。该漏洞之所以严重，是因为它结合了易于利用性（无需用户交互，攻击复杂度低）以及对受影响系统机密性、完整性和可用性的高影响。该漏洞于 2025 年 12 月 23 日公开披露，CVSS 4.0 评分为 9.4，表明其严重性为严重。该问题在版本 4.0.0-beta.451 中通过净化输入以防止命令注入得到修复。目前尚未有已知的在野利用报告，但考虑到利用后获得的 root 级访问权限，造成严重损害的可能性很大。

潜在影响

对于欧洲组织而言，CVE-2025-66210 的影响可能很严重。Coolify 常用于 DevOps 和云环境中管理服务器、应用程序和数据库。利用此漏洞，攻击者能够以 root 身份执行任意命令，可能导致系统完全被入侵、数据被盗、服务中断或在网络内横向移动。这可能造成敏感数据丢失、关键服务停机以及组织声誉受损。鉴于 root 级访问权限，攻击者可以植入持久性后门或广泛地破坏运营。依赖 Coolify 管理生产环境或关键基础设施的组织尤其脆弱。在金融、医疗保健和政府等数据保护法规严格的行业，风险会进一步放大。此外，该漏洞还可能被利用来绕过安全控制或在企业环境中进一步升级权限。

缓解建议

为缓解此漏洞，欧洲组织应立即将 Coolify 升级到修复了该问题的 4.0.0-beta.451 或更高版本。在能够应用升级之前，应将应用程序/服务管理权限限制在受信任的管理员范围内，并监控异常的命令执行或系统行为。实施网络分段以限制对 Coolify 管理接口的访问，并强制执行强身份验证和授权控制。采用应用层防火墙或入侵检测系统来检测异常的命令注入尝试。定期审计和审查与数据库导入操作和 shell 命令执行相关的日志。此外，考虑在具有最小权限的强化环境中隔离 Coolify 管理的服务器，并确保备份是最新的，以便在发生安全事件时能够恢复。教育管理员了解命令注入的风险以及在自定义脚本或集成中实施输入验证的重要性。

受影响国家

德国、法国、英国、荷兰、瑞典、芬兰

来源: CVE Database V5 发布时间: 2025年12月23日，星期二