ZDI-25-954 | Zero Day Initiative
漏洞详情
2025年10月16日 (0Day) Ashlar-Vellum Cobalt XE文件解析整数溢出远程代码执行漏洞 ZDI-25-954 / ZDI-CAN-26626
CVE ID CVE-2025-11463
CVSS评分 7.8, AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
受影响厂商 Ashlar-Vellum
受影响产品 Cobalt
漏洞细节
此漏洞允许远程攻击者在受影响的Ashlar-Vellum Cobalt安装上执行任意代码。利用此漏洞需要用户交互，即目标必须访问恶意页面或打开恶意文件。
具体缺陷存在于XE文件解析过程中。该问题源于对用户提供数据缺乏适当验证，在分配缓冲区前可能导致整数溢出。攻击者可利用此漏洞在当前进程上下文中执行代码。
补充细节
- 04/14/25 - ZDI向厂商报告漏洞
- 04/23/25 - 厂商确认收到报告
- 07/30/25 - ZDI询问更新状态
- 08/06/25 - ZDI再次询问更新状态
- 10/06/2025 - 厂商表示修复将在即将发布的更新中提供
- 10/15/25 - ZDI通知厂商计划将此案例作为0日公告发布
缓解措施：鉴于漏洞性质，唯一显著的缓解策略是限制与产品的交互。
披露时间线
- 2025-04-14 - 向厂商报告漏洞
- 2025-10-16 - 协调公开发布公告
- 2025-10-16 - 公告更新
致谢 Rocco Calvi (@TecR0c) with TecSecurity