CVE-2025-53735 - 安全更新指南 - Microsoft - Microsoft Excel远程代码执行漏洞
漏洞概述
CVE ID: CVE-2025-53735
发布日期: 2025年8月12日
最后更新: 2025年10月16日
分配CNA: Microsoft
最高严重等级: 重要
影响: 远程代码执行
技术详情
弱点类型: CWE-416: 释放后使用
CVSS评分详情
CVSS 3.1向量: AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C
基础评分: 7.8 / 时间评分: 6.8
基础评分指标
| 指标 | 值 | 描述 |
|---|---|---|
| 攻击向量 | 本地 | 攻击者需要通过本地访问或用户交互来利用漏洞 |
| 攻击复杂度 | 低 | 不存在特殊的访问条件或减轻因素 |
| 所需权限 | 无 | 攻击者在攻击前无需授权 |
| 用户交互 | 需要 | 需要用户采取某些操作才能利用漏洞 |
| 影响范围 | 未改变 | 被利用的漏洞只能影响同一安全权限管理的资源 |
| 机密性影响 | 高 | 造成完全机密性丧失 |
| 完整性影响 | 高 | 造成完全完整性丧失 |
| 可用性影响 | 高 | 造成完全可用性丧失 |
时间评分指标
| 指标 | 值 | 描述 |
|---|---|---|
| 漏洞利用成熟度 | 未验证 | 无公开可用的漏洞利用代码 |
| 修复级别 | 官方修复 | 供应商提供了完整的解决方案 |
| 报告可信度 | 已确认 | 存在详细报告或可功能性复现 |
执行摘要
Microsoft Office Excel中的释放后使用漏洞允许未经授权的攻击者在本地执行代码。
可利用性评估
在最初发布时的可利用性评估：
- 公开披露: 否
- 已利用: 否
- 可利用性评估: 利用可能性较低
常见问题解答
预览窗格是否是此漏洞的攻击向量？
否，预览窗格不是攻击向量。
根据CVSS指标，攻击向量是本地(AV:L)。为什么CVE标题表明这是远程代码执行？
标题中的"远程"一词指的是攻击者的位置。这种类型的漏洞利用有时被称为任意代码执行(ACE)。攻击本身是在本地进行的，这意味着攻击者或受害者需要从本地机器执行代码来利用该漏洞。
根据CVSS指标，需要用户交互(UI:R)。用户需要进行什么交互？
攻击者必须向用户发送恶意文件并说服他们打开它。
致谢
wh1tc & Zhiniang Peng 𝕏 @edwardzpeng with HUST
Microsoft感谢安全社区中那些通过协调漏洞披露帮助我们保护客户的努力。
安全更新
受影响产品和更新
| 发布日期 | 产品 | 平台 | 影响 | 最高严重等级 | 知识库文章 | 下载 | 构建号 |
|---|---|---|---|---|---|---|---|
| 2025年8月12日 | Microsoft Excel 2016 (64位版) | - | 远程代码执行 | 重要 | 5002758 | 安全更新 | 16.0.5513.1000 |
| 2025年8月12日 | Microsoft Excel 2016 (32位版) | - | 远程代码执行 | 重要 | 5002758 | 安全更新 | 16.0.5513.1000 |
| 2025年8月12日 | Microsoft Office LTSC for Mac 2024 | - | 远程代码执行 | 重要 | 发布说明 | 安全更新 | 16.100.25081015 |
| 2025年8月12日 | Microsoft Office LTSC 2024 for 64位版 | - | 远程代码执行 | 重要 | Click to Run | 安全更新 | https://aka.ms/OfficeSecurityReleases |
| 2025年8月12日 | Microsoft Office LTSC 2024 for 32位版 | - | 远程代码执行 | 重要 | Click to Run | 安全更新 | https://aka.ms/OfficeSecurityReleases |
| 2025年8月12日 | Microsoft Office LTSC 2021 for 32位版 | - | 远程代码执行 | 重要 | Click to Run | 安全更新 | https://aka.ms/OfficeSecurityReleases |
| 2025年8月12日 | Microsoft Office LTSC 2021 for 64位版 | - | 远程代码执行 | 重要 | Click to Run | 安全更新 | https://aka.ms/OfficeSecurityReleases |
| 2025年8月12日 | Microsoft Office LTSC for Mac 2021 | - | 远程代码执行 | 重要 | 发布说明 | 安全更新 | 16.100.25081015 |
| 2025年8月12日 | Microsoft 365 Apps for Enterprise for 64位系统 | - | 远程代码执行 | 重要 | Click to Run | 安全更新 | https://aka.ms/OfficeSecurityReleases |
| 2025年8月12日 | Microsoft 365 Apps for Enterprise for 32位系统 | - | 远程代码执行 | 重要 | Click to Run | 安全更新 | https://aka.ms/OfficeSecurityReleases |
| 2025年8月12日 | Microsoft Office 2019 for 64位版 | - | 远程代码执行 | 重要 | Click to Run | 安全更新 | https://aka.ms/OfficeSecurityReleases |
| 2025年8月12日 | Microsoft Office 2019 for 32位版 | - | 远程代码执行 | 重要 | Click to Run | 安全更新 | https://aka.ms/OfficeSecurityReleases |
| 2025年8月12日 | Office Online Server | - | 远程代码执行 | 重要 | 5002752 | 安全更新 | 16.0.10417.20034 |
修订历史
| 版本 | 修订日期 | 描述 |
|---|---|---|
| 2.0 | 2025年10月16日 | 修订包以包含此漏洞的下载中心ID |
| 1.0 | 2025年8月12日 | 信息发布 |
免责声明
Microsoft知识库中提供的信息"按原样"提供，不附带任何种类的担保。Microsoft否认所有明示或暗示的担保，包括适销性和特定用途适用性的担保。在任何情况下，Microsoft Corporation或其供应商都不承担任何损害赔偿责任，包括直接、间接、附带、后果性、商业利润损失或特殊损害，即使Microsoft Corporation或其供应商已被告知可能发生此类损害。有些州不允许排除或限制附带或后果性损害的责任，因此上述限制可能不适用。