cexlife 2025-10-27 08:45 上海
安小圈
📜 **漏洞概述**: Microsoft Windows Server Update Services (WSUS) 存在一个高危漏洞，编号CVE-2025-59287，其CVSS评分为9.8。该漏洞允许攻击者在目标系统上执行任意代码，并以SYSTEM权限运行，对企业网络安全构成严重威胁。
⚙️ **漏洞成因**: 漏洞根源在于WSUS处理AuthorizationCookie时的不安全反序列化机制。WSUS使用.NET的BinaryFormatter来反序列化加密的Cookie数据，但未能对反序列化的数据类型进行充分的验证，使得攻击者有机会注入恶意代码。
🎯 **影响范围**: 此漏洞影响了多个Windows Server版本，包括Windows Server 2019、2022和2025的多种配置，特别是Server Core安装版本。这意味着大量运行WSUS服务的服务器可能面临风险。
🛡️ **修复建议**: 微软官方已发布针对此漏洞的安全更新补丁。建议所有受影响的用户立即下载并安装最新的补丁，以修复该漏洞，确保WSUS服务的安全性和系统的稳定性。
cexlife 2025-10-27 08:45 上海
安小圈
漏洞描述:
Microsoft Windows Server Update Services(WSUS)是一款由微软开发的服务器管理工具,用于集中管理和分发Windows操作系统及其他微软产品的更新,WSUS允许IT管理员在企业网络中部署补丁和更新,确保各个客户端系统的安全性和稳定性。通过WSUS管理员可以选择特定的更新进行测试和验证并将其推送到组织中的所有计算机。此外,WSUS还提供了详细的报告功能帮助管理员监控更新的状态和部署进度。
Microsoft Windows Server Update Services(WSUS)的远程代码执行漏洞,源于不安全的反序列化过程。该漏洞发生在WSUS处理AuthorizationCookie时,使用.NET的BinaryFormatter对加密的Cookie数据进行反序列化,但未对类型进行严格验证。攻击者可以构造恶意加密数据,通过GetCookie()接口发送导致系统执行任意代码,并以SYSTEM权限运行,漏洞评分9.8分漏洞级别严重。
影响范围:
Windows Server 2025 (Server Core installation)
Windows Server 2022 (Server Core installation)
Windows Server 2022
Windows Server 2019 (Server Core installation)
Windows Server 2019
Windows Server 2012 R2 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 (Server Core installation)
Windows Server 2012
Windows Server 2016 (Server Core installation)
Windows Server 2016
Windows Server 2025
Windows Server 2022, 23H2 Edition (Server Core installation)
修复建议:
升级版本
Microsoft官方已发布修复补丁,以修复该漏洞
下载链接:
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-59287/
【内容来源：飓风网络安全】
2025HVV【技战法】丨0Day漏洞专项篇
护网—2025｜严守视频会议“安全门”，谨防信息泄露“一瞬间”
疑似国内护网红队攻击样本被捕获并深度分析
蓝队快速识别隐藏恶意文件的 20个文件特征及查找方法总结【新！】CNNVD通报微软多个安全漏洞
2025-07-11 HW情报分享
【HVV】护网—2025 | 网警公布适用《网络数据安全管理条例》典型案例
微软紧急修复高危蠕虫级RCE漏洞，威胁全网Windows系统
【HVV】护网系列 威胁情报共享7.8
【HVV】护网系列 威胁情报共享7.7
25HVV最新0day更新，各单位自查...
【HW】8个因护网被开除的网安人
HW应急溯源：50个高级命令实战指南
震惊全球！中国团队攻破RSA加密！RSA加密告急？
突发！小红书惊现后门......
2025年“净网”“护网”专项工作部署会在京召开，看看都说了哪些与你我相关的关键内容？
护网在即，企业还有什么新思路可以应对吗？
HW必备：50个应急响应常用命令速查手册二（实战收藏）
【干货】2024 攻防演练 · 期间 | 需关注的高危漏洞清单
攻防演练在即，10个物理安全问题不容忽视
红队视角！2024 | 国家级攻防演练100+必修高危漏洞合集(可下载)
【攻防演练】中钓鱼全流程梳理
攻防演练在即：如何开展网络安全应急响应
【2025】常见的网络安全服务大全（汇总详解）
AI 安全 |《人工智能安全标准体系(V1.0)》(征求意见稿)，附下载
AI辅助创作，多种专业模板，深度分析，高质量内容生成。从观点提取到深度思考，FishAI为您提供全方位的创作支持。新版本引入自定义参数，让您的创作更加个性化和精准。
鱼阅，AI 时代的下一个智能信息助手，助你摆脱信息焦虑