CVE-2025-13712: CWE-502: 腾讯混元DiT中不受信任数据的反序列化漏洞
严重性: 高 类型: 漏洞 CVE: CVE-2025-13712
腾讯混元DiT merge端点“不受信任数据反序列化”远程代码执行漏洞。此漏洞允许远程攻击者在受影响的腾讯混元DiT安装上执行任意代码。利用此漏洞需要用户交互，即目标必须访问恶意页面或打开恶意文件。
具体缺陷存在于 merge 端点。该问题源于缺乏对用户提供数据的适当验证，这可能导致不受信任数据的反序列化。攻击者可利用此漏洞在 root 上下文中执行代码。该漏洞编号为 ZDI-CAN-27190。
技术摘要
CVE-2025-13712 是在腾讯混元DiT产品中发现的一个漏洞，具体位于 merge 端点，该处存在未经适当验证的不受信任数据反序列化。当应用程序从不受信任的来源反序列化数据时，就会出现反序列化漏洞，这可能允许攻击者制作恶意的序列化对象，这些对象在被反序列化时会执行任意代码。在这种情况下，该缺陷允许远程攻击者在受影响的系统上以 root 权限执行任意代码。
利用漏洞需要用户交互，例如访问恶意网页或打开恶意文件，从而触发反序列化过程。该漏洞被归类为 CWE-502（不受信任数据的反序列化），其 CVSS v3.0 评分为 7.8，属于高风险。攻击向量为本地（AV:L），攻击复杂度低（AC:L），无需权限（PR:N），但需要用户交互（UI:R）。影响范围未改变（S:U），对机密性、完整性和可用性的影响均为高（C:H/I:H/A:H）。
目前尚无可用的补丁或已知的漏洞利用程序，但潜在的 root 级别代码执行使得此漏洞对受影响的环境构成严重威胁。该漏洞由 ZDI（ZDI-CAN-27190）报告，并于 2025 年 12 月 23 日发布。
潜在影响
对欧洲组织而言，CVE-2025-13712 的影响可能非常严重。成功利用该漏洞可使攻击者获得运行腾讯混元DiT的系统的 root 级别控制权，可能导致系统完全被攻陷。这可能造成对敏感数据的未授权访问、服务中断，以及部署更多恶意软件或勒索软件的能力。
鉴于其对机密性、完整性和可用性的高度影响，依赖腾讯混元DiT进行运营的关键基础设施、政府机构和企业可能面临重大的运营和声誉损害。用户交互的要求在一定程度上限制了大范围利用，但并未消除风险，特别是在用户可能通过网络钓鱼或恶意文档成为攻击目标的环境中。缺乏可用补丁增加了实施临时缓解措施的紧迫性。
此外，该漏洞可能在供应链攻击或网络内横向移动中被利用，从而放大其影响。
缓解建议
为缓解 CVE-2025-13712，组织应实施以下具体措施：
- 立即监控腾讯发布的任何更新或补丁，并在可用后尽快应用。
- 将
merge端点的访问限制在受信任的用户和网络，使用网络分段和防火墙规则来限制暴露。 - 对
merge端点处理的所有数据实施严格的输入验证和清理，以防止接受恶意的序列化对象。 - 加强用户意识培训，降低用户打开恶意文件或访问有害网页的风险，重点关注网络钓鱼和社会工程学策略。
- 利用应用程序级别的白名单和运行时应用程序自我保护（RASP）来检测和阻止可疑的反序列化活动。
- 实施端点检测与响应（EDR）解决方案，以识别表明利用尝试的异常进程行为。
- 定期进行安全审计和渗透测试，重点关注反序列化漏洞和用户交互攻击向量。
- 如果反序列化功能对应用程序功能不是必需的，请考虑禁用或限制这些功能。这些有针对性的步骤超越了通用建议，解决了漏洞的具体性质及其利用要求。
受影响国家
德国、法国、英国、荷兰、意大利、西班牙、波兰
来源: CVE 数据库 V5 发布日期: 2025年12月23日，星期二