CVE-2025-14617：Jehovah’s Witnesses JW Library应用中的路径遍历漏洞
漏洞概述
严重性： 中等 类型： 漏洞 CVE编号： CVE-2025-14617
在Android版的Jehovah’s Witnesses JW Library应用（最高至15.5.1版本）中发现了一个安全漏洞。该漏洞存在于组件 org.jw.jwlibrary.mobile.activity.SiloContainer 的一个未知函数中。该漏洞可导致路径遍历攻击，攻击者需要本地访问权限才能利用此漏洞。漏洞利用细节已公开披露，可能会被利用。
技术分析
CVE-2025-14617是一个在Jehovah’s Witnesses JW Library Android应用（具体影响版本15.5.0和15.5.1）中发现的路径遍历漏洞。该漏洞位于组件 org.jw.jwlibrary.mobile.activity.SiloContainer 内的一个未指定函数中，该函数未能正确验证或清理文件路径输入。此缺陷允许拥有本地访问权限和有限特权（PR:L）的攻击者操纵文件路径，从而可能访问或修改预期目录范围之外的文件。
攻击向量需要设备的本地访问权限，但不需要用户交互或提升的权限，这使得具有有限权限的恶意应用程序或用户能够利用此漏洞。CVSS 4.0向量（AV:L/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P）反映了中等严重性评级，突出了在获得本地访问权限后，其机密性、完整性和可用性影响有限，但易于被利用。
该漏洞可能导致未经授权的文件读取或写入，从而造成应用程序环境内的数据泄露、损坏或拒绝服务。尽管目前尚未有公开的野外利用报告，但漏洞利用细节的披露增加了未来遭受攻击的风险。该漏洞凸显了移动应用程序中围绕文件路径处理和输入验证的安全编码实践的重要性。
潜在影响
对于欧洲的组织而言，CVE-2025-14617的影响在很大程度上取决于其用户群或员工队伍中JW Library应用的使用情况。虽然该应用主要面向耶和华见证人用于宗教研究，但拥有在Android设备上使用该应用的员工或成员的组织可能面临数据暴露或操纵的风险。
路径遍历缺陷可能允许通过已受感染的设备或恶意内部人员等途径获得本地访问权限的攻击者访问敏感文件或破坏应用程序功能。如果应用程序存储或缓存了个人或组织数据，则可能导致机密性被破坏。如果文件被更改，完整性可能会受到影响，从而可能降低应用程序内容的可靠性。如果关键文件被删除或损坏，则可能影响可用性。鉴于其中等严重性以及需要本地访问权限的要求，该威胁程度适中，但不应被忽视，尤其是在使用共享或安全性较差的移动设备的环境中。欧洲组织应在设备安全未得到严格控制或该应用被广泛使用的场景中考虑此风险。
缓解建议
- 通过强制执行强设备身份验证和限制物理访问，限制对运行JW Library应用的设备的本地访问。
- 监控Jehovah’s Witnesses JW Library应用供应商的更新，并在补丁可用后及时应用。
- 采用移动设备管理（MDM）解决方案来控制应用程序安装和权限，最大限度地减少可能利用本地漏洞的恶意应用程序的暴露。
- 教育用户了解安装不受信任的应用程序或授予可能促进本地利用的不必要权限的风险。
- 在设备上实施文件系统监控，以检测与应用程序目录相关的异常文件访问或修改。
- 鼓励用户避免对设备进行Root或越狱，这会增加本地权限提升和利用的风险。
- 如果可行，使用Android的范围存储功能或沙盒隔离应用程序的数据存储，以限制路径遍历的影响。
- 定期对组织内使用的移动应用程序进行安全审计，以主动识别和修复类似的漏洞。
受影响国家
英国、德国、法国、意大利、西班牙、荷兰、比利时、瑞典、波兰
技术详情
- 数据版本： 5.2
- 分配者简称： VulDB
- 预留日期： 2025-12-12T20:51:49.244Z
- Cvss版本： 4.0
- 状态： 已发布
威胁ID： 693d75402c268cf8855cb26d 添加到数据库时间： 2025年12月13日，下午2:16:32 最后丰富时间： 2025年12月13日，下午2:30:55 最后更新时间： 2025年12月14日，晚上8:48:07 浏览量： 27
来源
来源： CVE数据库 V5 发布时间： 2025年12月13日，星期六