CVE-2025-10450: CWE-359 RTI Connext Professional中向未授权参与者暴露私人个人信息
严重性：高 类型：漏洞 CVE： CVE-2025-10450
RTI Connext Professional（核心库）中的“向未授权参与者暴露私人个人信息”漏洞允许嗅探网络流量。
此问题影响 Connext Professional：从 7.4.0 开始，早于 7.* 的版本；以及从 7.2.0 开始，早于 7.3.1 的版本。
AI 分析
技术摘要
CVE-2025-10450 是在 RTI Connext Professional 核心库中发现的一个漏洞，具体影响版本 7.2.0 至但不包括 7.3.1，以及从 7.4.0 开始早于 7.* 的版本。该缺陷允许未经授权的参与者拦截和嗅探网络流量，导致私人个人信息暴露。此漏洞归类于 CWE-359，涉及向未授权实体暴露敏感数据。根本原因在于对通过网络传输的数据保护不足，可能是由于受影响的 RTI Connext Professional 版本中缺乏加密或加密机制薄弱。利用此漏洞无需身份验证或用户交互，攻击媒介基于网络，使得能够访问脆弱系统网络的攻击者可以利用它。CVSS 4.0 向量（AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N）反映出高达 8.3 的严重性评分，突显了严重的机密性影响和相对较低的利用复杂性。RTI Connext Professional 广泛应用于工业物联网、自主系统和关键基础设施的实时数据分发，这使得该漏洞在传输敏感个人或操作数据的环境中尤其令人担忧。尽管尚未有已知的在野利用报告，但数据泄露和隐私侵犯的可能性要求受影响组织立即关注。补丁链接的缺失表明修复可能即将到来或等待供应商发布，这强调了临时缓解措施的必要性。
潜在影响
CVE-2025-10450 的主要影响是通过网络流量嗅探未经授权地暴露私人个人信息。对于欧洲组织，特别是在部署了 RTI Connext Professional 的制造业、汽车、医疗保健和关键基础设施等行业运营的组织，此漏洞可能导致严重的泄露个人数据和潜在敏感操作信息的数据泄露。违反保密性可能导致不符合 GDPR 等法规，从而引发法律处罚和声誉损害。此外，敏感数据的暴露可能助长进一步的针对性攻击，包括间谍活动或破坏活动。完整性和可用性影响评级较低，但如果攻击者利用暴露的信息来中断服务或操纵数据流，仍然存在风险。鉴于基于网络的攻击媒介和缺乏所需的身份验证，能够访问网络（内部访问或通过受损的边界防御访问）的攻击者可以利用此漏洞。这对于在欧洲先进制造业和智慧城市倡议中常见的、拥有互连工业控制系统或分布式物联网部署的组织而言，提高了风险状况。
缓解建议
- 密切监控 RTI 官方渠道，等待针对 CVE-2025-10450 的安全补丁发布，并在可用后立即应用。
- 对所有涉及 RTI Connext Professional 的通信强制使用强加密协议（例如 TLS 1.3），以防止网络嗅探。
- 实施严格的网络分段和访问控制，仅将 RTI Connext Professional 流量暴露给受信任的网络区域。
- 部署网络入侵检测和防御系统（IDS/IPS），并调整签名或异常检测以识别可疑的嗅探或数据渗出企图。
- 在使用 RTI Connext Professional 的环境中，定期进行安全审计和渗透测试，重点关注网络流量安全。
- 对网络管理员和安全团队进行有关此漏洞的教育，以确保快速检测和响应。
- 在可行的情况下，对访问运行 RTI Connext Professional 的系统的远程连接使用 VPN 或专用安全隧道。
- 审查并强化 RTI Connext Professional 部署的配置，禁用任何可能增加攻击面的不必要的网络服务或调试接口。
受影响国家
德国、法国、英国、意大利、荷兰、瑞典
来源： CVE 数据库 V5 发布日期： 2025年12月16日，星期二
技术详情
数据版本： 5.2 分配者简称： RTI 日期保留： 2025-09-14T16:19:21.418Z Cvss 版本： 4.0 状态： 已发布 威胁 ID： 694188253e7fd18214bf80c5 添加到数据库： 2025年12月16日下午4:26:13 最后丰富： 2025年12月16日下午4:41:55 最后更新： 2025年12月16日下午10:49:10 查看次数： 8