漏洞风险提示（20251104）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 JumpServer ConnectionToken 权限验证不当漏洞（CVE-2025-62712）
一、漏洞描述：
        
        JumpServer开源堡垒机是一款运维安全审计系统产品，提供身份验证、授权控制、账号管理、安全审计等功能支持，帮助企业快速构建运维安全审计能力。
        JumpServer 的 super-connection-token 接口没有严格的权限验证，而是返回所有用户创建的连接令牌（包括管理员），导致低权限攻击者可获取高权限用户的资产管理权限并执行恶意操作。
二、风险等级：
        高
三、影响范围：
        JumpServer  v3.10.20-lts之前版本
        JumpServer  v4.10.11-lts之前版本
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://community.fit2cloud.com/#/products/jumpserver/downloads

---

2 Redis hyperloglog命令越界写入导致RCE漏洞 （CVE-2025-32023）
一、漏洞描述：
        
        Redis是一个开源的内存数据结构存储系统，广泛应用于缓存、消息队列、实时分析等场景。
        Redis中的hyperloglog命令越界写入导致的RCE漏洞，影响Redis版本2.8到8.0.3之前的所有版本，包括7.4.5、7.2.10和6.2.19。攻击者可以利用认证用户身份，通过特殊构造的字符串触发hyperloglog操作中的堆栈/堆越界写入漏洞，可能导致远程代码执行。
二、风险等级：
        高
三、影响范围：
        Redis  2.8.x 到 6.2.17 之间版本
        Redis  7.0.x 到 7.2.8 之间版本
        Redis  7.4.0 到 7.4.3 之间版本
        Redis  8.0.0 到 8.0.1 之间版本
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/redis/redis/releases

---

3 Google Android权限提升漏洞（CVE-2025-48563）
一、漏洞描述：
        
        Google Android是Google公司的一套以Linux为基础的开源操作系统。
        Google Android存在权限提升漏洞，该漏洞是由于RemoteFillService.java中onNullBinding函数中的不安全默认值导致后台活动启动。攻击者可利用该漏洞提升权限。
二、风险等级：
        高
三、影响范围：
        Google Android 14.0
        Google Android 15.0
        Google Android 16.0
        Google Android 13.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://source.android.com/security/bulletin/2025-09-01

---

4 ISC BIND 9拒绝服务漏洞（CVE-2025-8677）
一、漏洞描述：
        
        ISC BIND 9是ISC组织的一个域名系统软件。
        ISC BIND 9存在拒绝服务漏洞，该漏洞源于处理特制区域中畸形DNSKEY记录时资源消耗不当，攻击者可利用该漏洞导致CPU耗尽。
二、风险等级：
        高
三、影响范围：
        9.18.0≤ISC BIND 9 ≤9.18.39
        9.20.0≤ISC BIND 9 ≤9.20.13
        9.21.0≤ISC BIND 9 ≤9.21.12
        9.18.11-S1≤ISC BIND 9 ≤9.18.39-S1
        9.20.9-S1≤ISC BIND 9 ≤9.20.13-S1
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://kb.isc.org/docs/cve-2025-8677

---