【风险通告】微软6月安全更新补丁和多个高危漏洞风险提示
【风险通告】微软6月安全更新补丁和多个高危漏洞风险提示
安恒研究院 安恒信息CERT 2025-06-11 10:02
漏洞公告
微软官方发布了6月安全更新公告，包含了Windows Common Log File System Driver、Windows Installer、Microsoft Word、Web Distributed Authoring and Versioning (WEBDAV)、Windows Netlogon、Windows KDC Proxy Service (KPSSVC)、Microsoft Office、Windows SDK等微软家族多个产品的安全更新补丁。请相关用户及时更新对应补丁修复漏洞。
01
漏洞速览
|
1、本月存在1个在野0day漏洞，经研判，需要重点关注的在野0day漏洞如下: |
|||
|
· Web Distributed Authoring and Versioning (WEBDAV)远程代码执行漏洞（CVE-2025-33053） |
|
2、本月披露漏洞中，需要重点关注的漏洞如下: |
|||
|
· Windows Common Log File System Driver特权提升漏洞（CVE-2025-32713） · Windows Installer特权提升漏洞（CVE-2025-32714） · Microsoft Word远程代码执行漏洞（CVE-2025-32717） · Web Distributed Authoring and Versioning (WEBDAV)远程代码执行漏洞（CVE-2025-33053） · Windows Netlogon特权提升漏洞（CVE-2025-33070） · Windows KDC Proxy Service (KPSSVC)远程代码执行漏洞（CVE-2025-33071） · Microsoft Office远程代码执行漏洞（CVE-2025-47162） · Microsoft Office远程代码执行漏洞（CVE-2025-47164） · Microsoft Office远程代码执行漏洞（CVE-2025-47167） · Windows SDK特权提升漏洞（CVE-2025-47962） |
|
3、本月披露的严重漏洞如下: |
|||
|
· Power Automate特权提升漏洞（CVE-2025-47966） |
02
漏洞详情
|
1、Web Distributed Authoring and Versioning (WEBDAV)远程代码执行漏洞（CVE-2025-33053） |
|||
|
漏洞类型 |
远程代码执行 |
CVSS3.1评分 |
8.8 |
|
CVE编号 |
CVE-2025-33053 |
安恒CERT编号 |
DM-202504-002131 |
|
CVSS向量 |
|||
|
访问途径（AV） |
网络 |
攻击复杂度（AC） |
低 |
|
所需权限（PR） |
无 |
用户交互（UI） |
需要用户交互 |
|
影响范围 (S) |
不变 |
机密性影响 (C) |
高 |
|
完整性影响 (I) |
高 |
可用性影响 (A) |
高 |
|
参考链接 |
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-33053 |
||
|
2、Windows Common Log File System Driver特权提升漏洞（CVE-2025-32713） |
|||
|
漏洞类型 |
权限提升 |
CVSS3.1评分 |
7.8 |
|
CVE编号 |
CVE-2025-32713 |
安恒CERT编号 |
DM-202504-001535 |
|
CVSS向量 |
|||
|
访问途径（AV） |
本地 |
攻击复杂度（AC） |
低 |
|
所需权限（PR） |
低 |
用户交互（UI） |
不需要用户交互 |
|
影响范围 (S) |
不变 |
机密性影响 (C) |
高 |
|
完整性影响 (I) |
高 |
可用性影响 (A) |
高 |
|
参考链接 |
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-32713 |
||
|
3、Windows Installer特权提升漏洞（CVE-2025-32714） |
|||
|
漏洞类型 |
权限提升 |
CVSS3.1评分 |
7.8 |
|
CVE编号 |
CVE-2025-32714 |
安恒CERT编号 |
DM-202504-001536 |
|
CVSS向量 |
|||
|
访问途径（AV） |
本地 |
攻击复杂度（AC） |
低 |
|
所需权限（PR） |
低 |
用户交互（UI） |
不需要用户交互 |
|
影响范围 (S) |
不变 |
机密性影响 (C) |
高 |
|
完整性影响 (I) |
高 |
可用性影响 (A) |
高 |
|
参考链接 |
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-32714 |
||
|
4、Microsoft Word远程代码执行漏洞（CVE-2025-32717） |
|||
|
漏洞类型 |
远程代码执行 |
CVSS3.1评分 |
8.4 |
|
CVE编号 |
CVE-2025-32717 |
安恒CERT编号 |
DM-202504-001548 |
|
CVSS向量 |
|||
|
访问途径（AV） |
本地 |
攻击复杂度（AC） |
低 |
|
所需权限（PR） |
无 |
用户交互（UI） |
不需要用户交互 |
|
影响范围 (S) |
不变 |
机密性影响 (C) |
高 |
|
完整性影响 (I) |
高 |
可用性影响 (A) |
高 |
|
参考链接 |
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-32717 |
||
|
5、Windows Netlogon特权提升漏洞（CVE-2025-33070） |
|||
|
漏洞类型 |
权限提升 |
CVSS3.1评分 |
8.1 |
|
CVE编号 |
CVE-2025-33070 |
安恒CERT编号 |
DM-202504-002148 |
|
CVSS向量 |
|||
|
访问途径（AV） |
网络 |
攻击复杂度（AC） |
高 |
|
所需权限（PR） |
无 |
用户交互（UI） |
不需要用户交互 |
|
影响范围 (S) |
不变 |
机密性影响 (C) |
高 |
|
完整性影响 (I) |
高 |
可用性影响 (A) |
高 |
|
参考链接 |
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-33070 |
||
|
6、Windows KDC Proxy Service (KPSSVC)远程代码执行漏洞（CVE-2025-33071） |
|||
|
漏洞类型 |
远程代码执行 |
CVSS3.1评分 |
8.1 |
|
CVE编号 |
CVE-2025-33071 |
安恒CERT编号 |
DM-202504-002149 |
|
CVSS向量 |
|||
|
访问途径（AV） |
网络 |
攻击复杂度（AC） |
高 |
|
所需权限（PR） |
无 |
用户交互（UI） |
不需要用户交互 |
|
影响范围 (S) |
不变 |
机密性影响 (C) |
高 |
|
完整性影响 (I) |
高 |
可用性影响 (A) |
高 |
|
参考链接 |
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-33071 |
||
|
7、Microsoft Office远程代码执行漏洞（CVE-2025-47162） |
|||
|
漏洞类型 |
远程代码执行 |
CVSS3.1评分 |
8.4 |
|
CVE编号 |
CVE-2025-47162 |
安恒CERT编号 |
DM-202505-000574 |
|
CVSS向量 |
|||
|
访问途径（AV） |
本地 |
攻击复杂度（AC） |
低 |
|
所需权限（PR） |
无 |
用户交互（UI） |
不需要用户交互 |
|
影响范围 (S) |
不变 |
机密性影响 (C) |
高 |
|
完整性影响 (I) |
高 |
可用性影响 (A) |
高 |
|
参考链接 |
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-47162 |
||
|
8、Microsoft Office远程代码执行漏洞（CVE-2025-47164） |
|||
|
漏洞类型 |
|
CVSS3.1评分 |
8.4 |
|
CVE编号 |
CVE-2025-47164 |
安恒CERT编号 |
DM-202505-000565 |
|
CVSS向量 |
|||
|
访问途径（AV） |
本地 |
攻击复杂度（AC） |
低 |
|
所需权限（PR） |
无 |
用户交互（UI） |
不需要用户交互 |
|
影响范围 (S) |
不变 |
机密性影响 (C) |
高 |
|
完整性影响 (I) |
高 |
可用性影响 (A) |
高 |
|
参考链接 |
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-47164 |
||
|
9、Microsoft Office远程代码执行漏洞（CVE-2025-47167） |
|||
|
漏洞类型 |
远程代码执行 |
CVSS3.1评分 |
8.4 |
|
CVE编号 |
CVE-2025-47167 |
安恒CERT编号 |
DM-202505-000581 |
|
CVSS向量 |
|||
|
访问途径（AV） |
本地 |
攻击复杂度（AC） |
低 |
|
所需权限（PR） |
无 |
用户交互（UI） |
不需要用户交互 |
|
影响范围 (S) |
不变 |
机密性影响 (C) |
高 |
|
完整性影响 (I) |
高 |
可用性影响 (A) |
高 |
|
参考链接 |
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-47167 |
||
|
10、Windows SDK特权提升漏洞（CVE-2025-47962） |
|||
|
漏洞类型 |
权限提升 |
CVSS3.1评分 |
7.8 |
|
CVE编号 |
CVE-2025-47962 |
安恒CERT编号 |
DM-202505-002106 |
|
CVSS向量 |
|||
|
访问途径（AV） |
本地 |
攻击复杂度（AC） |
低 |
|
所需权限（PR） |
低 |
用户交互（UI） |
不需要用户交互 |
|
影响范围 (S) |
不变 |
机密性影响 (C) |
高 |
|
完整性影响 (I) |
高 |
可用性影响 (A) |
高 |
|
参考链接 |
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-47962 |
||
|
11、Power Automate特权提升漏洞（CVE-2025-47966） |
|||
|
危害等级 |
严重 |
CVSS3.1评分 |
9.8 |
|
CVE编号 |
CVE-2025-47966 |
安恒CERT编号 |
DM-202505-002110 |
|
漏洞描述 |
|||
|
Microsoft Power Automate 存在信息泄露问题，由于对敏感信息保护不足，导致未授权的攻击者可以在特定条件下访问本不应公开的数据。攻击者可利用这些信息绕过正常的权限控制机制，在网络环境中非法获取更高权限，从而对系统执行未经授权的操作，如访问受限资源或控制其他服务，构成较严重的安全风险。 |
|||
|
CVSS向量 |
|||
|
访问途径（AV） |
网络 |
攻击复杂度（AC） |
低 |
|
所需权限（PR） |
无 |
用户交互（UI） |
不需要用户交互 |
|
影响范围 (S) |
不变 |
机密性影响 (C) |
高 |
|
完整性影响 (I) |
高 |
可用性影响 (A) |
高 |
|
参考链接 |
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-47966 |
||
1
03
修复方案
官方修复方案：
目前微软针对支持的产品已发布升级补丁修复了上述漏洞，请用户参考官方通告及时下载更新补丁。补丁获取：https://msrc.microsoft.com/update-guide/vulnerability
Windows 更新：
自动更新：Microsoft Update默认启用，当系统检测到可用更新时，将会自动下载更新并在下一次启动时安装。
手动更新：
1、点击“开始菜单”或按Windows快捷键，点击进入“设置”。
2、选择“更新和安全”，进入“Windows更新”（Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”，具体步骤为“控制面板”->“系统和安全”->“Windows更新”）。
3、选择“检查更新”，等待系统将自动检查并下载可用更新。
4、重启计算机，安装更新系统重新启动后，可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。
04
参考资料
https://msrc.microsoft.com/update-guide/releaseNote/2025-Jun
05
技术支持
如有漏洞相关需求支持请联系400-6059-110获取相关能力支撑。