2025年2月补丁星期二
最后更新：2025年2月11日
作者：Chris Goettl
标签：补丁星期二，安全，补丁管理
2025年2月的补丁星期二随着Adobe、Microsoft的发布以及Google的预期发布而逐步展开。Adobe通过七次更新解决了45个CVE漏洞，其中规模最大且优先级最高的是Adobe Commerce，修复了30个CVE。Microsoft在经历了一月份的大规模发布后，本月仅解决了56个新CVE，其中包括两个新的零日漏洞和一个修订的Secure Boot零日漏洞，使得Windows OS成为本月的最高优先级。
Microsoft被利用的漏洞
Microsoft修复了Windows Ancillary Function Driver for WinSock中的一个权限提升漏洞（CVE-2025-21418）。该漏洞评级为“重要”，CVSSv3.1得分为7.8，影响从Windows 10到11以及Server 2008到Server 2025的所有版本。Microsoft已确认此CVE在野外被利用，攻击者利用此漏洞可获得SYSTEM权限。基于风险优先级，此漏洞应被视为“严重”。
Microsoft还修复了Windows Storage中的另一个权限提升漏洞（CVE-2025-21391）。该漏洞评级为“重要”，CVSSv3.1得分为7.1，影响Windows 10到11以及Server 2016到Server 2025。Microsoft已确认此CVE在野外被利用，基于风险优先级应被视为“严重”。
Microsoft修订了先前修复的Secure Boot中的安全功能绕过漏洞（CVE-2023-24932）。该漏洞评级为“重要”，CVSSv3.1得分为6.7，更新后包括Windows 11 24H2和Server 2025，因为它们也受此已知被利用和公开利用的漏洞影响。此外，Microsoft发布了更全面的更新以完全保护所有受影响版本。基于风险优先级，此漏洞应被视为“严重”。
Microsoft公开披露的漏洞
Microsoft修复了NTLM哈希披露中的欺骗漏洞（CVE-2025-21377）。该漏洞评级为“重要”，CVSSv3.1得分为6.5，影响从Windows 10到11以及Server 2008到Server 2025的所有版本。Microsoft已确认此CVE被公开披露，时间指标显示漏洞利用代码成熟度为功能级，进一步增加了利用风险。基于风险优先级，此漏洞应被视为“严重”。
Microsoft修复了Microsoft Surface中的安全功能绕过漏洞（CVE-2025-21194）。该漏洞评级为“重要”，CVSSv3.1得分为7.1，影响Microsoft Surface和Surface Dev Kit系统。Microsoft已确认此漏洞被公开披露，但代码成熟度未经验证。
第三方漏洞
Adobe发布了针对InDesign、Commerce、Substance 3D Stager、InCopy、Illustrator、Substance 3D Designer和Photoshop Elements的更新，共解决了45个CVE，其中六次更新为优先级3，Adobe Commerce设置为优先级1。Commerce更新解决了Adobe本月修复的45个CVE中的30个，值得更立即关注。
Google Chrome预计今日晚些时候更新，这将触发基于Chromium的浏览器（包括Microsoft Edge）的更新，因此在本周内请密切关注Chrome和Edge的更新。
Ivanti安全公告
Ivanti发布了五次产品更新，解决了11个CVE，其中四个为“严重”。受影响产品包括Ivanti Cloud Service Application、Ivanti Neurons for MDM、Ivanti Connect Secure、Ivanti Policy Secure和Ivanti Secure Access Client。发布时，Ivanti未意识到这11个已修复CVE有任何利用或公开披露。更多信息请参见二月安全公告页面。
二月更新优先级
Microsoft Windows是本月的最高优先级，有三个已知被利用的CVE、两个公开披露的已修复漏洞和两个严重CVE。
浏览器是攻击者针对用户的主要目标。虽然建议将浏览器纳入月度更新流程，但这在周期之间会暴露许多CVE。建议将浏览器移至每周优先级更新节奏。Mozilla Firefox每月发布两到三次，Google Chrome自2023年8月以来每周发布安全更新，基于Chromium的Microsoft Edge也每周发布。建议每周更新所有浏览器以跟上持续的安全修复流。
关于Chris Goettl
Chris Goettl是Ivanti安全产品副总裁，拥有超过15年的IT经验，支持并为Ivanti客户实施安全解决方案，指导Ivanti安全产品的安全策略和愿景。他还是安全布道者，在全球安全活动中演讲，提供关于现代网络威胁及如何有效应对的指导。Chris主持每月关注补丁星期二和安全漏洞的网络研讨会，并经常撰写安全主题博客。