Adobe产品多重漏洞可能导致任意代码执行

MS-ISAC公告编号：2025-050
发布日期：2025/05/13

概述

在Adobe系列产品中发现多个安全漏洞，其中最严重的漏洞可能导致任意代码执行。成功利用这些漏洞的攻击者可以在已登录用户权限下执行任意代码，进而安装程序、增删改查数据或创建具有完全用户权限的新账户。系统权限较低的用户受影响程度可能低于管理员权限用户。

威胁情报

目前尚未发现这些漏洞在野被利用的报告。

受影响系统

• Adobe Lightroom 8.2及更早版本
• Adobe Dreamweaver 21.4及更早版本
• Adobe Connect 12.8及更早版本
• Adobe InDesign ID20.2/ID19.5.2及更早版本
• Substance 3D Painter 11.0及更早版本
• Photoshop 2025 26.5/2024 25.12.2及更早版本
• Animate 2023 23.0.11/2024 24.0.8及更早版本
• Illustrator 2025 29.3/2024 28.7.5及更早版本
• Adobe Bridge 14.1.6/15.0.3及更早版本
• Adobe Dimension 4.1.1及更早版本
• Substance 3D Stager 3.1.1及更早版本
• Substance 3D Modeler 1.21.0及更早版本
• ColdFusion 2025/2023/2021及更早版本

风险评级

• 政府机构：大中型政府实体（高危） | 小型政府（中危）
• 企业用户：大中型企业（高危） | 小型企业（中危）
• 家庭用户：低危

技术分析

漏洞涉及多种攻击技术（MITRE ATT&CK框架TA0002执行战术）：

关键漏洞类型

1. Adobe Lightroom：越界写入（CVE-2025-27197）
2. Adobe Dreamweaver：类型混淆（CVE-2025-30310）
3. Adobe Connect：反射型XSS（CVE-2025-43567等）
4. Adobe InDesign：空指针解引用（CVE-2025-30319）
5. Substance 3D Painter：堆溢出（CVE-2025-30322）
6. Adobe Photoshop：整数下溢（CVE-2025-30324）
7. Adobe Animate：未初始化指针访问（CVE-2025-43557）
8. Adobe ColdFusion：OS命令注入（CVE-2025-43562）

修复建议

1. 立即更新：通过Adobe官方渠道获取安全更新（CIS安全防护措施M1051）
2. 漏洞管理：
   • 建立企业级漏洞管理流程（防护措施7.1）
   • 每月执行外部资产自动化扫描（防护措施7.6）
3. 权限控制：
   • 实施最小权限原则（M1026）
   • 限制管理员账户使用范围（防护措施5.4）
4. 攻击防护：
   • 启用反漏洞利用功能（如DEP、WDEG）（防护措施10.5）
   • 部署主机入侵防御系统（防护措施13.7）
5. 应用安全：
   • 实施应用程序白名单（防护措施2.5）
   • 对关键应用进行渗透测试（防护措施16.13）

参考链接

Adobe安全公告中心
CVE漏洞数据库