漏洞详情
发布日期：2025年10月16日 (0Day) Ashlar-Vellum Cobalt CO文件解析释放后使用远程代码执行漏洞 ZDI-25-956 / ZDI-CAN-26631
CVE ID：CVE-2025-11465
CVSS评分：7.8 (AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H)
受影响厂商：Ashlar-Vellum
受影响产品：Cobalt
漏洞细节
此漏洞允许远程攻击者在受影响的Ashlar-Vellum Cobalt安装上执行任意代码。利用此漏洞需要用户交互，即目标必须访问恶意页面或打开恶意文件。
具体缺陷存在于CO文件的解析过程中。该问题源于在对对象执行操作之前缺乏对对象存在性的验证。攻击者可利用此漏洞在当前进程上下文中执行代码。
补充信息
- 04/14/25 - ZDI向厂商报告漏洞
- 04/23/25 - 厂商确认收到报告
- 07/30/25 - ZDI询问更新
- 08/06/25 - ZDI再次询问更新
- 09/24/25 - ZDI通知厂商计划将此案例发布为0day公告
缓解措施：鉴于漏洞性质，唯一显著的缓解策略是限制与产品的交互。
披露时间线
- 2025-04-14 - 向厂商报告漏洞
- 2025-10-16 - 协调公开发布公告
- 2025-10-16 - 公告更新
致谢
Rocco Calvi (@TecR0c) with TecSecurity