2025年5月安全更新综述

2025年5月13日 | Dustin Childs

本月是第二个星期二，也是Pwn2Own Berlin前的最后一个补丁星期二。我知道几位参赛者正紧张地等待，希望他们的参赛条目已被修复。在他们紧张等待的同时，不妨暂停手头的工作，和我们一起回顾最新安全警报的细节。如果您想观看涵盖整个发布的完整视频回顾，可以点击这里查看：

Adobe 2025年5月补丁

5月，Adobe发布了13个公告，修复了Adobe Cold Fusion、Lightroom、Dreamweaver、Connect、InDesign、Substance 3D Painter、Photoshop、Animate、Illustrator、Bridge、Dimension、Substance 3D Stager和Substance 3D Modeler中的40个CVE。其中一个CVE是通过Trend ZDI项目提交的。如果您需要确定优先级，Cold Fusion是一个很好的起点。它不仅修复了7个严重和1个重要漏洞，而且Adobe将其列为优先级1——尽管没有列出活跃攻击。Cold Fusion上个月也收到了补丁，因此这些CVE可能是该补丁的绕过。其余更新均列为优先级3。

Photoshop中有三个严重评级漏洞，可通过打开特制文件触发。Animate的修复纠正了五个漏洞，包括一些导致代码执行的漏洞。Substance 3D Stager的修复包含六个CVE。然而，Substance 3D Modeler的补丁中只有两个CVE，Substance 3D Painter中有一个。尽管是不同的产品，但将它们分组处理是合理的。InDesign的补丁修复了三个漏洞，但只有一个被评为严重。Bridge的修复包含三个CVE，均可能导致代码执行。Adobe Connect的补丁修复了四个跨站脚本（XSS）漏洞。Adobe 5月的发布以Lightroom、Dreamweaver和Illustrator各一个严重评级的代码执行漏洞结束。

Adobe本月修复的所有漏洞在发布时均未列为公开已知或处于活跃攻击状态。

Microsoft 2025年5月补丁

本月，Microsoft在Windows和Windows组件、Office和Office组件、.NET和Visual Studio、Azure、Nuance PowerScribe、远程桌面网关服务和Microsoft Defender中发布了75个新CVE。其中三个漏洞是通过Trend ZDI项目报告的。加上记录的额外第三方CVE，总CVE数达到82个。

今天发布的补丁中，12个被评为严重，其余被评为重要。这个修复数量在5月并不罕见，但确实使Microsoft在发布的CVE数量上超过了去年同期的水平。在一个月内看到如此多与Office相关的漏洞被修复也很不寻常。这可能是今年晚些时候预计会看到的攻击的先兆。

Microsoft列出了五个漏洞在发布时处于活跃攻击状态，另外两个为公开已知。让我们仔细看看本月一些更有趣的更新，从当前在野利用的一个漏洞开始：

• CVE-2025-30397 - 脚本引擎内存损坏漏洞 此漏洞允许远程攻击者在受影响系统上执行其代码，前提是能说服用户点击特制链接。由于这是在野利用，显然有人点击了该链接。此漏洞的有趣之处在于它强制Edge进入Internet Explorer模式，因此IE的幽灵继续困扰着我们。Microsoft未提供有关这些攻击广泛程度的信息，但我会尽快测试和部署此修复。

• CVE-2025-32701/CVE-2025-32706 - Windows通用日志文件系统驱动程序权限提升漏洞 此Windows组件经历了多次考验，因为它在过去几个月也被其他组织利用。这些漏洞允许权限提升至SYSTEM，通常与代码执行漏洞配对以接管系统。过去，这些类型的漏洞被勒索软件团伙使用，因此这些很可能也是如此。尽快测试和部署。

• CVE-2025-32709 - Windows WinSock辅助功能驱动程序权限提升漏洞 说到重演，我们在今年2月也看到了此组件在野利用。当我们看到同一组件反复被利用时，我开始质疑补丁的质量，并想知道它们是否被绕过。同样，这里有一个权限提升漏洞，导致SYSTEM权限。

• CVE-2025-30400 - Microsoft DWM核心库权限提升漏洞 这是本月修复的最后一个在野漏洞，尽管我们在1月看到它被修复，但这是我们在该组件中一段时间内看到的首次利用。这是另一个权限提升漏洞，导致以SYSTEM身份执行代码。所有EoP漏洞通常用于网络钓鱼和勒索软件，因此不要被其较低严重性所迷惑。绝对要尽快测试和部署这些补丁。

以下是Microsoft 2025年5月发布的CVE完整列表：