CVE-2025-46296：Claris FileMaker Server 管理控制台中的一个授权绕过漏洞，允许权限较低的管理员角色访问管理功能，例如查看许可证详情和下载应用程序日志。
严重性：中等 类型：漏洞
技术摘要
CVE-2025-46296 是在 Claris FileMaker Server 管理控制台中发现的一个授权绕过漏洞。该缺陷允许被分配了最低权限管理员角色的用户绕过预期的访问限制，未经授权地访问敏感的管理功能。具体而言，这些用户可以查看许可证详情和下载应用程序日志，而这些功能通常仅限于更高权限的管理员。
此漏洞源于管理控制台界面内权限检查执行不足，使得在管理环境中能够实现权限提升。受影响的版本未具体说明，但该问题已在 FileMaker Server 22.0.4 版本中得到完全修复。此漏洞不需要用户交互，但确实需要一个具有管理员角色（尽管权限最低）的已认证会话。截至目前，尚未报告有公开的漏洞利用或活跃的利用活动。许可证详情和应用程序日志的暴露可能泄露敏感的操作信息，可能有助于进一步的攻击或未经授权的访问。该漏洞凸显了在服务器软件的管理界面中严格执行基于角色的访问控制的重要性。使用 FileMaker Server 的组织应优先修补到固定版本，并审核其管理员角色分配，以确保执行最小权限原则。
潜在影响
对于欧洲组织，此漏洞对 FileMaker Server 环境中的敏感管理数据构成未经授权访问的风险。许可证详情的暴露可能揭示许可条款和使用模式，而对应用程序日志的访问可能泄露操作详情、错误消息或用户活动日志，这些信息可能被用于进一步的攻击或侦察。依赖 FileMaker Server 进行数据库管理的金融、医疗保健、政府和关键基础设施等行业的组织可能面临数据泄漏或运营中断的风险增加。较低权限管理员能够提升其访问权限，这会破坏内部安全控制，并可能为攻击者利用已攻破的最低权限账户进行内部威胁或横向移动提供便利。尽管目前未发现野外利用，但该漏洞存在于管理界面中，使其成为攻击者寻求在不使用完整凭据的情况下获得更深层次访问的宝贵目标。在角色分配未得到严格控制或补丁管理延迟的环境中，其影响会加剧。
缓解建议
- 立即将所有 FileMaker Server 实例升级到 22.0.4 或更高版本，该版本已完全解决此漏洞。
- 对 FileMaker Server 管理控制台内的所有管理员角色和权限进行全面审核，确保仅分配必要的权限，严格遵守最小权限原则。
- 在 FileMaker Server 环境中实施对管理操作的监控和警报，以检测异常的访问模式或权限提升行为。
- 将管理控制台的访问限制在受信任的网络，并对所有管理员账户强制执行强身份验证机制，例如多因素认证。
- 定期审查和更新补丁管理策略，确保及时应用安全更新。
- 教育管理员了解权限提升的风险以及安全角色管理的重要性。
- 考虑进行网络分段，将 FileMaker Server 管理界面与普通用户访问隔离开，以减少攻击面。
受影响的国家
德国、英国、法国、荷兰、瑞典、瑞士、意大利、西班牙
来源：CVE Database V5 发布日期：2025年12月16日，星期二