漏洞风险提示（20250218)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内 容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Microsoft Dynamics 365 Sales权限提升漏洞（CVE-2025-21177）
一、漏洞描述：
        
        Microsoft Dynamics 365 Sales是一款旨在简化和提升销售过程的强大工具，为销售团队提供洞察力和数据，以建立牢固的客户关系并有效达成交易。Microsoft Dynamics 365 Sales存在权限提升漏洞，攻击者可利用该漏洞提升权限。
二、风险等级：
        高
三、影响范围：
        Dynamics 365 Sales
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://msrc.microsoft.com/updat ... sory/CVE-2025-21177

---

2 WinZip 7Z 文件解析越界写入远程代码执行漏洞 (CVE-2025-1240)
一、漏洞描述：
        
        WinZip 7Z文件解析越界写入远程代码执行漏洞。该漏洞允许远程攻击者在安装了WinZip的受影响系统上执行任意代码 。要利用此漏洞，需要用户与恶意页面或恶意文件交互。具体漏洞存在于7Z文件的解析过程中。该问题源于对用户提供数据的验证不足，可能导致写入超过已分配缓冲区的末尾。攻击者可以利用此漏洞在当前进程的上下文中执行代码。
二、风险等级：
        高
三、影响范围：
        WinZip < 29.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://kb.winzip.com/help/help_whatsnew.htm

---

3 TCPDF本地文件包含漏洞（CVE-2024-51058）
一、漏洞描述：
        
        TCPDF是Tecnick开源的一个库，用于生成PDF文档和条形码。TCPDF 6.7.5版本存在本地文件包含漏洞，攻击者可利用该漏洞通过<img> src标签读取服务器的文件系统上的任意文件，进而泄露敏感信息。
二、风险等级：
        高
三、影响范围：
        TCPDF = 6.7.5
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/saravana-hack ... main/CVE-2024-51058

---

4 GitLab CE/EE会话过期不足漏洞（CVE-2024-11668）
一、漏洞描述：
        
        GitLab CE/EE是一个开源的基于web的Git库管理工具及代码托管平台，有两个主要版本：社区版和企业版。
GitLab CE/EE 16.11.0至17.4.5版本、17.5.0至17.5.3版本、17.6.0至17.6.1版本存在会话过期不足漏洞，攻击者可利用该漏洞通过永远链接绕过身份认证控制，进而获得对流媒体结果的未经授权的权限。
二、风险等级：
        高
三、影响范围：
        GitLab CE/EE >= 17.6.0 < 17.6.1
        GitLab CE/EE >= 17.5.0 < 17.5.3
        GitLab CE/EE >= 16.11.0 < 17.4.5
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://gitlab.com/gitlab-org/gitlab/-/issues/456922

---