最新消息

發佈編號

TACERT-ANA-2025051203051111

發佈時間

2025-05-12 15:05:11

事故類型

ANA-漏洞預警

發現時間

2025-05-12 15:05:11

影響等級

低

[主旨說明:]【漏洞預警】CISA新增4個已知遭駭客利用之漏洞至KEV目錄(2025/05/05-2025/05/11)

[內容說明:]
轉發 台灣電腦網路危機處理暨協調中心 TWCERTCC-200-202505-00000008 

1. 【CVE-2025-3248】Langflow Missing Authentication Vulnerability (CVSS v3.1: 9.8)
【是否遭勒索軟體利用:未知】 Langflow在/api/v1/validate/code端點中存在驗證缺失漏洞，允許遠端未經驗證的攻擊者透過特製的 HTTP請求執行任意程式碼。
【影響平台】 langflow 1.2.0(含)之前的版本  

2. 【CVE-2025-27363】FreeType Out-of-Bounds Write Vulnerability (CVSS v3.1: 8.1)
【是否遭勒索軟體利用:未知】 FreeType在嘗試解析與TrueType GX和可變字型檔案相關的子字型結構時，存在越界寫入漏洞，可能導致任意程式碼執行。
【影響平台】 FreeType 2.13.0(含)之前的版本  

3. 【CVE-2024-11120】GeoVision Devices OS Command Injection Vulnerability (CVSS v3.1: 9.8)
【是否遭勒索軟體利用:未知】 多款 GeoVision 裝置存在作業系統指令注入漏洞，遠端未經驗證的攻擊者可藉此注入並執行任意系統指令。
【影響平台】 GV-VS12 GV-VS11 GV-DSP_LPR_V3 GVLX 4 V2 GVLX 4 V3  

4. 【CVE-2024-6047】GeoVision Devices OS Command Injection Vulnerability (CVSS v3.1: 9.8)
【是否遭勒索軟體利用:未知】 多款 GeoVision 裝置存在作業系統指令注入漏洞，遠端未經驗證的攻擊者可藉此注入並執行任意系統指令。
【影響平台】 GV_DSP_LPR_V2 GV_IPCAMD_GV_BX130 GV_IPCAMD_GV_BX1500 GV_IPCAMD_GV_CB220 GV_IPCAMD_GV_EBL1100 GV_IPCAMD_GV_EFD1100 GV_IPCAMD_GV_FD2410 GV_IPCAMD_GV_FD3400 GV_IPCAMD_GV_FE3401 GV_IPCAMD_GV_FE420 GV_GM8186_VS14 GV-VS14_VS14 GV_VS03 GV_VS2410 GV_VS28XX GV_VS216XX GV VS04A GV VS04H GVLX 4 V2 GVLX 4 V3 

情資分享等級: WHITE(情資內容為可公開揭露之資訊) 

[影響平台:]

[建議措施:]
1. 【CVE-2025-3248】 對應產品升級至以下版本(或更高) langflow 1.3.0
2. 【CVE-2025-27363】 對應產品升級至以下版本(或更高) FreeType 2.13.1
3. 【CVE-2024-11120】 受影響的產品可能已達到生命週期終止(EoL)或服務終止(EoS)。建議使用者停止使用相關產品。
4. 【CVE-2024-6047】 受影響的產品可能已達到生命週期終止(EoL)或服務終止(EoS)。建議使用者停止使用相關產品。

[參考資料:]

(此通報僅在於告知相關資訊，並非為資安事件)，如果您對此通報的內容有疑問或有關於此事件的建議，歡迎與我們連絡。

教育機構資安通報應變小組
網址：https://info.cert.tanet.edu.tw/
專線電話：07-5250211
網路電話：98400000
E-Mail：Email住址會使用灌水程式保護機制。你需要啟動Javascript才能觀看它