CVE-2025-53783 - 微软Teams远程代码执行漏洞
漏洞概述
发布日期：2025年8月12日
最后更新：2025年10月30日
最大严重等级：重要
弱点类型：CWE-122 堆基缓冲区溢出
漏洞影响
- 影响：远程代码执行
- CVSS向量字符串：CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C
- CVSS评分：7.5（基础）/ 6.5（时序）
基础评分指标
| 指标 | 值 | 描述 |
|---|---|---|
| 攻击向量 | 网络 | 漏洞组件绑定到网络堆栈，攻击者可远程利用 |
| 攻击复杂度 | 高 | 成功攻击依赖于攻击者无法控制的条件 |
| 所需权限 | 无 | 攻击者未经授权即可发起攻击 |
| 用户交互 | 需要 | 需要用户采取某些操作才能利用漏洞 |
| 影响范围 | 未改变 | 漏洞利用仅影响同一安全权限管理的资源 |
| 机密性影响 | 高 | 完全丧失机密性，受影响组件所有资源泄露 |
| 完整性影响 | 高 | 完全丧失完整性，攻击者可修改所有受保护文件 |
| 可用性影响 | 高 | 完全丧失可用性，攻击者能完全拒绝资源访问 |
时序评分指标
| 指标 | 值 | 描述 |
|---|---|---|
| 漏洞利用成熟度 | 未验证 | 无公开可用的漏洞利用代码 |
| 修复级别 | 官方修复 | 供应商已提供完整解决方案 |
| 报告可信度 | 已确认 | 存在详细报告或可功能复现 |
执行摘要
微软Teams中存在堆基缓冲区溢出漏洞，允许未经授权的攻击者通过网络执行代码。
可利用性评估
- 公开披露：否
- 已利用：否
- 可利用性评估：利用可能性较低
常见问题解答
问：根据CVSS指标，此漏洞可能导致机密性、完整性和可用性的重大损失，这意味着什么？
答：成功利用此漏洞的攻击者可以获得高权限，包括读取、写入和删除功能。
问：根据CVSS指标，攻击复杂度为高，这意味着什么？
答：成功利用此漏洞需要攻击者收集有关目标组件环境的特定信息。
安全更新
| 发布日期 | 产品 | 平台 | 影响 | 严重等级 | 构建号 |
|---|---|---|---|---|---|
| 2025年8月12日 | Microsoft Teams for Mac, New Edition | Mac | 远程代码执行 | 重要 | 25122.1207.3700.1444 |
| 2025年8月12日 | Microsoft Teams for Desktop | Desktop | 远程代码执行 | 重要 | 25122.1415.3698.6812 |
| 2025年8月12日 | Microsoft Teams for iOS | iOS | 远程代码执行 | 重要 | 7.10.1 (100772025102901) |
| 2025年8月12日 | Microsoft Teams for Android | Android | 远程代码执行 | 重要 | 1416/1.0.0.2025102802 |
| 2025年8月12日 | Teams for D365 Guides Hololens | Hololens | 远程代码执行 | 重要 | 907.2505.29001.0 |
| 2025年8月12日 | Teams Phones | Phones | 远程代码执行 | 重要 | 1449/1.0.94.2025168802 |
| 2025年8月12日 | Teams Panels | Panels | 远程代码执行 | 重要 | 1449/1.0.97.2025102203 |
| 2025年8月12日 | Teams for D365 Remote Assist HoloLens | HoloLens | 远程代码执行 | 重要 | 316.2505.28001 |
致谢
匿名研究人员与Trend Zero Day Initiative合作发现此漏洞。
修订历史
- 版本1.1（2025年10月30日）：更新软件更新表中的产品信息（仅信息性变更）
- 版本1.0（2025年8月12日）：信息发布