CVE-2025-66377: CWE-306 Pexip Infinity中关键功能缺失身份验证
严重性：高 类型：漏洞
CVE-2025-66377是Pexip Infinity 39.0之前版本中存在的一个高严重性漏洞，涉及一个关键内部API功能缺失身份验证。攻击者若在一个节点上拥有代码执行能力，便可利用此缺陷影响同一Pexip Infinity安装中的其他节点，可能危及整个部署的机密性、完整性和可用性。漏洞利用需要事先获得在某个节点上执行代码的权限，但不需要额外的特权或用户交互。该漏洞的网络攻击向量是邻接的，对所有安全属性都有高影响。目前未报告有已知的野外利用。使用Pexip Infinity进行视频会议和协作的欧洲组织应优先修补和进行网络分段，以降低横向移动风险。大量采用Pexip Infinity以及依赖统一通信的关键基础设施的国家面临更高风险。即时缓解措施包括限制内部API访问、应用供应商发布的补丁以及监控节点通信的异常活动。
AI分析
技术摘要
CVE-2025-66377是一个归类于CWE-306（关键功能缺失身份验证）的漏洞，影响Pexip Infinity 39.0之前的版本。该缺陷存在于一个产品内部API中，该API缺乏适当的身份验证控制，允许已经在一个Pexip Infinity集群节点上拥有代码执行能力的攻击者操纵或破坏安装中的其他节点。此漏洞不允许初始入侵，但能在环境中实现横向移动和权限提升。攻击向量是邻接网络访问，意味着攻击者必须位于同一网段或对内部API具有一定程度的网络访问权限。CVSS v3.1基础评分为7.5，反映了高严重性，原因是其对机密性、完整性和可用性的高影响，加上高攻击复杂度要求且无需特权或用户交互。该漏洞可能允许攻击者中断视频会议服务、拦截或篡改通信，或导致跨多个节点的拒绝服务，严重影响组织运营。目前尚未报告公开的利用程序，但在严重依赖Pexip Infinity进行关键通信的环境中，滥用的可能性很大。内部API缺乏身份验证是一个关键的设计缺陷，应通过实施强大的访问控制和身份验证机制来解决。由于Pexip Infinity通常部署在集群环境中以实现可扩展性和冗余性，此漏洞破坏了集群内节点隔离和信任的安全假设。
潜在影响
对于欧洲组织而言，CVE-2025-66377的影响可能非常重大，特别是依赖Pexip Infinity进行安全视频会议和协作的部门，如政府机构、医疗保健、金融和关键基础设施。利用此漏洞可能导致未经授权访问敏感通信、中断关键会议以及潜在的数据泄露或篡改。攻击者在Pexip集群内横向移动的能力增加了大规模服务中断的风险，并使事件响应工作复杂化。鉴于对机密性、完整性和可用性的高影响，如果个人数据遭到泄露，组织可能面临运营停机、声誉损害以及GDPR下的监管后果。该漏洞也引起了在跨不同地理位置的混合或多节点部署的组织的担忧，因为跨节点攻击可能会在同一基础设施内跨越国界传播。目前缺乏已知利用程序为主动缓解提供了一个窗口期，但高严重性评分表明，拥有内部访问权限的攻击者可以利用此缺陷产生重大影响。
缓解建议
- 立即将对Pexip Infinity内部API的网络访问限制为仅限可信管理网络，使用网络分段和防火墙规则来限制横向移动。
- 监控内部API流量，查找表明利用尝试的异常模式或未经授权的请求。
- 在Pexip节点上部署基于主机的入侵检测系统（HIDS），以检测未经授权的代码执行或权限提升活动。
- 一旦适用于Pexip Infinity 39.0或更高版本的供应商补丁或更新可用，立即应用，以解决此身份验证缺陷。
- 在内部API上实施严格的访问控制和身份验证机制，包括相互TLS或基于令牌的身份验证，以防止未经授权的使用。
- 定期进行安全审计和渗透测试，重点关注Pexip集群内的内部API安全性和节点间通信。
- 教育系统管理员有关横向移动的风险以及保护内部网段的重要性。
- 考虑部署网络异常检测工具来识别可疑的集群内通信。
- 维护一个事件响应计划，其中包含涉及内部API泄露和集群服务内横向移动的场景。
受影响国家
英国、德国、法国、荷兰、瑞典、挪威、丹麦、芬兰
来源：CVE数据库 V5 发布日期：2025年12月25日 星期四