TCMAN GIM v11 存在未授权访问漏洞（CVE-2025-41012）

CVE-2025-41012 - TCMAN GIM中的未授权访问漏洞

概述

CVE-2025-41012是一个存在于TCMAN GIM v11版本20250304中的安全漏洞。该漏洞允许未经身份验证的攻击者通过特定的Web服务接口和参数，探测目标系统上是否存在特定用户。

漏洞描述

在TCMAN GIM v11版本20250304中存在一个未授权访问漏洞。此漏洞使未经身份验证的攻击者能够通过向/WS/PDAWebService.asmx端点发送包含soapaction UnlockUser、pda:userId和pda:newPassword参数的请求，来判断系统中是否存在某个用户。

详细信息

发布日期：2025年12月2日 13:15
最后修改日期：2025年12月2日 17:16
可否远程利用：是
来源：cve-coordination@incibe.es

受影响产品

以下产品受CVE-2025-41012漏洞影响。

ID	供应商	产品	操作
1	Tcman	gim
*总计受影响供应商：1	受影响产品：1*

CVSS评分

通用漏洞评分系统（CVSS）是一个用于评估软件和系统中漏洞严重程度的标准化框架。我们收集并展示了针对此CVE来自不同来源的CVSS分数。

分数	版本	严重性	向量	可利用性分数	影响分数	来源
8.7	CVSS 4.0	高				0cbda920-cd7f-484a-8e76-bf7f4b7f4516
8.7	CVSS 4.0	高				cve-coordination@incibe.es

解决方案

建议将TCMAN GIM更新到已解决通过参数操作进行未授权访问问题的版本。

将TCMAN GIM更新到最新版本。
应用供应商提供的安全补丁。
限制对PDAWebService.asmx的访问。
监控认证日志中的可疑活动。

建议、解决方案和工具参考

以下是一个精心策划的外部链接列表，提供了与CVE-2025-41012相关的深入信息、实用解决方案和有价值的工具。

URL	资源
https://www.incibe.es/en/incibe-cert/notices/aviso/multiple-vulnerabilities-tcman-gim-2

CWE - 通用缺陷枚举

CVE标识特定的漏洞实例，而CWE则对可能导致漏洞的常见缺陷或弱点进行分类。CVE-2025-41012与以下CWE相关联：

CWE-862：缺失授权

常见攻击模式枚举与分类（CAPEC）

常见攻击模式枚举与分类（CAPEC）存储了攻击模式，这些模式描述了攻击者利用CVE-2025-41012弱点的常用属性和方法。

CAPEC-665：利用雷电（Thunderbolt）保护缺陷的漏洞利用

GitHub上的概念验证

我们扫描GitHub仓库以检测新的概念验证漏洞利用程序。以下列表是已在GitHub上发布的公共漏洞利用程序和概念验证的集合（按最近更新排序）。 由于潜在的性能问题，结果限制在前15个仓库。

漏洞时间线

以下表格列出了CVE-2025-41012漏洞随时间发生的变化。漏洞历史记录详细信息有助于理解漏洞的演变，并识别可能影响漏洞严重性、可利用性或其他特征的最新更改。

2025年12月2日 - 收到cve-coordination@incibe.es提交的新CVE

操作	类型	新值
添加	描述	未经授权的访问漏洞存在于TCMAN GIM v11版本20250304。此漏洞允许未经身份验证的攻击者通过向`/WS/PDAWebService.asmx`端点发送包含`soapaction UnlockUser`、`pda:userId`和`pda:newPassword`参数的请求，来判断系统中是否存在某个用户。
添加	CVSS V4.0	AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
添加	CWE	CWE-862
添加	参考	https://www.incibe.es/en/incibe-cert/notices/aviso/multiple-vulnerabilities-tcman-gim-2

EPSS评分

利用预测评分系统（EPSS）是对未来30天内观察到漏洞利用活动概率的每日估计。下图显示了该漏洞的EPSS评分历史。 （此处应包含图表，但原文中未提供具体数据）