CVE-2025-59507 - Windows语音运行时权限提升漏洞
执行摘要
Windows语音中使用共享资源但同步不当的并发执行（“竞争条件”）允许授权攻击者在本地提升权限。
漏洞详情
发布日期：2025年11月11日
分配CNA：Microsoft
CVE链接：CVE-2025-59507
影响：权限提升
最高严重等级：重要
弱点：CWE-362：使用共享资源的并发执行与不当同步（“竞争条件”）
CVSS评分
CVSS来源：Microsoft
向量字符串：CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C
指标：CVSS:3.1 7.0 / 6.1
基础评分指标
| 指标 | 值 | 描述 |
|---|---|---|
| 攻击向量 | 本地 | 易受攻击的组件不绑定到网络堆栈，攻击者的路径通过读/写/执行能力 |
| 攻击复杂性 | 高 | 成功的攻击取决于攻击者无法控制的条件 |
| 所需权限 | 低 | 攻击者被授权具有提供基本用户能力的权限 |
| 用户交互 | 无 | 无需任何用户交互即可利用易受攻击的系统 |
| 范围 | 未更改 | 被利用的漏洞只能影响由同一安全机构管理的资源 |
| 机密性 | 高 | 完全丧失机密性，受影响组件内的所有资源都泄露给攻击者 |
| 完整性 | 高 | 完全丧失完整性，攻击者能够修改受影响组件保护的任何/所有文件 |
| 可用性 | 高 | 完全丧失可用性，攻击者能够完全拒绝对受影响组件中资源的访问 |
时间评分指标
| 指标 | 值 | 描述 |
|---|---|---|
| 利用代码成熟度 | 未验证 | 没有公开可用的利用代码，或者利用是理论性的 |
| 修复级别 | 官方修复 | 提供完整的供应商解决方案 |
| 报告可信度 | 已确认 | 存在详细报告，或者可以进行功能重现 |
可利用性评估
公开披露：否
已被利用：否
可利用性评估：不太可能被利用
常见问题解答
根据CVSS指标，攻击复杂性为高（AC:H）。这对该漏洞意味着什么？ 成功利用此漏洞需要攻击者赢得竞争条件。
成功利用此漏洞的攻击者可以获得什么权限？ 成功利用此漏洞的攻击者可以从低完整性级别提升到中完整性级别。
致谢
匿名
Microsoft认可安全社区中那些通过协调漏洞披露帮助我们保护客户的人员的努力。
安全更新
| 发布日期 | 产品 | 平台 | 影响 | 最高严重等级 | 知识库文章 | 下载 | 构建号 |
|---|---|---|---|---|---|---|---|
| 2025年11月11日 | Windows Server 2016（服务器核心安装） | - | 权限提升 | 重要 | 5068864 | 安全更新 | 10.0.14393.8594 |
| 2025年11月11日 | Windows Server 2016 | - | 权限提升 | 重要 | 5068864 | 安全更新 | 10.0.14393.8594 |
| 2025年11月11日 | Windows 10版本1607（基于x64的系统） | - | 权限提升 | 重要 | 5068864 | 安全更新 | 10.0.14393.8594 |
| 2025年11月11日 | Windows 10版本1607（32位系统） | - | 权限提升 | 重要 | 5068864 | 安全更新 | 10.0.14393.8594 |
| 2025年11月11日 | Windows Server 2025 | - | 权限提升 | 重要 | 5068861, 5068966 | 安全更新, 安全热补丁更新 | 10.0.26100.7171, 10.0.26100.7092 |
| 2025年11月11日 | Windows 11版本24H2（基于x64的系统） | - | 权限提升 | 重要 | 5068861, 5068966 | 安全更新, 安全热补丁更新 | 10.0.26100.7171, 10.0.26100.7092 |
| 2025年11月11日 | Windows 11版本24H2（基于ARM64的系统） | - | 权限提升 | 重要 | 5068861, 5068966 | 安全更新, 安全热补丁更新 | 10.0.26100.7171, 10.0.26100.7092 |
免责声明
Microsoft知识库中提供的信息"按原样"提供，不提供任何担保。Microsoft否认所有明示或暗示的担保，包括适销性和特定用途适用性的担保。在任何情况下，Microsoft Corporation或其供应商都不对任何损害承担责任，包括直接、间接、附带、后果性、商业利润损失或特殊损害，即使Microsoft Corporation或其供应商已被告知可能发生此类损害。有些州不允许排除或限制间接或附带损害的责任，因此上述限制可能不适用。
修订版本
版本1.0 - 2025年11月11日：信息发布。