Windows WebDAV：零日RCE漏洞

还记得WebDAV标准吗？距离微软上次公布Windows WebDAV实现中的漏洞已有七年之久，而本次发布的CVE-2025-33053是首个有记录的零日漏洞。WebDAV最初在1990年代为支持网络交互性而设计，Exchange管理员和老版本用户可能熟悉该协议，因为包括Exchange Server 2010在内的旧版Exchange都支持通过WebDAV与邮箱和公共文件夹交互。

Windows仍或多或少支持WebDAV，这显然会带来问题。微软在公告中致谢Check Point Research (CPR)，而CPR将CVE-2025-33053的利用归因于APT组织Stealth Falcon，该威胁组织长期针对中东及周边地区的政府及相关实体。

值得注意的是，微软公告未提及Windows WebDAV实现自2023年11月起已被列为弃用状态，这意味着WebClient服务默认不再启动。公告还将攻击复杂度评为低，表明利用无需对目标环境进行超出攻击者控制的准备。漏洞利用需要用户点击恶意链接。如果服务未运行，资产如何立即遭受攻击尚不明确，但所有Windows版本均收到补丁，包括自WebClient弃用后发布的Server 2025和Windows 11 24H2。例如在Server 2025上，仍可安装WebDAV重定向器服务器功能，随后WebClient服务便会出现。

SMB客户端：零日EoP漏洞

公开披露的导致SYSTEM权限的权限提升（EoP）零日漏洞值得密切关注，CVE-2025-33073也不例外。公告指出，最简单的利用路径仅需用户连接到攻击者控制的恶意SMB服务器。公告未完全明确仅连接是否足以触发利用，或是否需要成功认证，因为两个标题几乎相同的FAQ条目存在矛盾表述：“攻击者如何利用此漏洞？”微软可能会后续澄清措辞，但目前唯一安全的假设是攻击者占优势。

Windows KDC代理：关键RCE漏洞

Windows KDC代理服务（KPSSVC）今日收到CVE-2025-33071的补丁，该漏洞为关键未认证RCE，通过滥用加密协议弱点进行利用。好消息是，仅配置为Kerberos密钥分发中心代理协议服务器的Windows Server资产受影响（幸运的是，域控制器默认未启用此配置），且利用需要攻击者赢得竞态条件。坏消息是，微软认为利用可能性较高，且由于KDC代理帮助来自不可信网络的Kerberos请求更易访问可信资产，无需客户端与域控制器的直接TCP连接，权衡之下KDC代理本身很可能暴露于不可信网络。本月受影响防御者应优先修补此漏洞。

Office预览窗格：三重关键RCE漏洞

微软预计今日修补的三个Office关键RCE漏洞更可能被利用。CVE-2025-47162、CVE-2025-47164和CVE-2025-47167具有多个共同点：均由多产研究员0x140ce发现（该研究员位居MSRC 2025 Q1排行榜首），且均包含预览窗格作为攻击向量，这始终增加防御难度。负责Microsoft 365 Apps for Enterprise安装的管理员需等待，因为今日漏洞的补丁尚未适用于Microsoft 365的该特定方面。

Microsoft生命周期更新

6月是Microsoft产品生命周期变更的平静月份。下一批重大Microsoft产品生命周期状态变更将于2025年7月进行，届时SQL Server 2012 ESU计划结束，Visual Studio 2022 17.8 LTSC支持终止。

摘要图表

（图表内容省略）

摘要表格

Azure漏洞

浏览器漏洞

开发者工具漏洞

Microsoft Dynamics漏洞

Microsoft Office漏洞

（详细表格内容省略，包含多个SharePoint、Word、Excel、PowerPoint、Outlook的RCE和EoP漏洞）

Windows漏洞

（详细表格内容省略，包含任务计划程序、Schannel、DHCP服务、存储管理提供程序等多个漏洞）

Windows ESU漏洞

（详细表格内容省略，包含SMB客户端、路由和远程访问服务、WebDAV、远程桌面服务等多个漏洞）