美国CISA将Adminer、Cisco IOS、Fortra GoAnywhere MFT、Libraesva ESG和Sudo漏洞纳入已知被利用漏洞目录

美国网络安全和基础设施安全局（CISA）将Adminer、Cisco IOS、Fortra GoAnywhere MFT、Libraesva ESG和Sudo中的漏洞添加到其已知被利用漏洞（KEV）目录中。

以下是这些漏洞的描述：

• CVE-2021-21311 Adminer服务器端请求伪造漏洞
• CVE-2025-20352 Cisco IOS和IOS XE基于栈的缓冲区溢出漏洞
• CVE-2025-10035 Fortra GoAnywhere MFT不可信数据反序列化漏洞
• CVE-2025-59689 Libraesva电子邮件安全网关命令注入漏洞
• CVE-2025-32463 Sudo从未受信任控制范围包含功能漏洞

Cisco IOS和IOS XE漏洞详情

上周，思科修复了被积极利用的零日漏洞CVE-2025-20352，该漏洞影响Cisco IOS和IOS XE软件。这个高危漏洞存在于Cisco IOS软件和IOS XE软件的简单网络管理协议（SNMP）子系统中。

该漏洞允许经过身份验证的远程攻击者以低权限触发拒绝服务条件，或以高权限实现根代码执行。攻击者可通过IPv4或IPv6网络向易受攻击的设备发送特制的SNMP数据包来利用此漏洞。该漏洞的根本原因是受影响软件SNMP子系统中的栈溢出条件。所有启用SNMP的设备都会受到此漏洞影响。

公司产品安全事件响应团队（PSIRT）已知有野外攻击利用此漏洞。

Fortra GoAnywhere MFT漏洞

另一个被添加到KEV目录的漏洞是CVE-2025-10035。上周，网络安全公司watchTowr Labs透露，他们有"可信证据"表明，关键的Fortra GoAnywhere MFT漏洞CVE-2025-10035早在2025年9月10日就已在野外被积极利用，比公开披露时间早一周。

Fortra GoAnywhere托管文件传输是一个用于安全文件传输、数据加密和合规性管理的综合解决方案。它提供了一个集中平台，用于管理和自动化不同系统和应用程序之间的文件传输，实现在组织网络中安全可控的数据移动。

9月18日，Fortra解决了GoAnywhere托管文件传输（MFT）软件中的一个关键漏洞，该漏洞被追踪为CVE-2025-10035（CVSS评分为10.0）。

该漏洞是Fortra GoAnywhere MFT许可证小服务程序中的反序列化漏洞。攻击者可利用此漏洞在受影响系统上执行任意命令。

“Fortra GoAnywhere MFT许可证小服务程序中的反序列化漏洞允许具有有效伪造许可证响应签名的参与者反序列化任意参与者控制的对象，可能导致命令注入。“咨询报告中写道。

公司敦促客户升级到修补版本（最新版本7.8.4或维护版本7.6.3）。为缓解此漏洞，Fortra建议限制对GoAnywhere管理控制台的公共访问，因为利用取决于互联网暴露情况。

Libraesva电子邮件安全网关漏洞

CISA还将漏洞CVE-2025-59689添加到目录中，此前Libraesva报告称国家行为者利用了其电子邮件安全网关中的命令注入漏洞。

Libraesva电子邮件安全网关是由意大利网络安全公司Libraesva开发的高级安全电子邮件网关（SEG）解决方案。它旨在保护组织免受电子邮件传播的威胁，包括垃圾邮件和网络钓鱼邮件、商业电子邮件泄露（BEC）尝试、通过附件或链接传递的恶意软件和勒索软件，以及利用电子邮件作为入口点的高级持续性威胁（APT）。

攻击者可通过发送包含特制压缩附件的恶意电子邮件来触发此漏洞。由于对某些压缩存档中的代码清理不当，该漏洞使攻击者能够以非特权用户身份运行任意命令。

公司已识别至少一起涉及此漏洞的事件，并将攻击归因于国家行为者。

Sudo漏洞

7月初，网络安全研究人员披露了Linux和类Unix操作系统中Sudo命令行实用程序中的两个漏洞。本地攻击者可利用这些漏洞在受影响系统上将权限提升至root。

Sudo（“superuser do"的缩写）是Unix和Linux系统中的命令行实用程序。它允许授权用户以另一个用户的安全权限运行命令，最常见的是root用户（系统最强大的管理账户）。

以下是两个漏洞的描述：

• CVE-2025-32462（CVSS评分：2.8）- 当使用指定既非当前主机也非ALL的主机的sudoers文件时，1.9.17p1之前的Sudo允许列出的用户在非预期机器上执行命令。
• CVE-2025-32463（CVSS评分：9.3）- 1.9.17p1之前的Sudo允许本地用户获取root访问权限，因为使用了来自用户控制目录的/etc/nsswitch.conf与–chroot选项。

Stratascale网络研究单位（CRU）团队发现了这两个本地权限漏洞。

修复要求

根据《绑定操作指令22-01：降低已知被利用漏洞的重大风险》，联邦民事行政部门机构必须在截止日期前解决已识别的漏洞，以保护其网络免受目录中漏洞的攻击。

专家还建议私营组织审查目录并解决其基础设施中的漏洞。

CISA命令联邦机构在2025年10月20日前修复这些漏洞。