Beckhoff TwinCAT 3 Engineering 反序列化漏洞 (CVE-2025-41701)

关键漏洞信息 漏洞ID VDE-2025-075 发布日期 2025-09-10 10:00 (CEST) 最后更新 2025-09-10 10:36 (CEST) 厂商 Beckhoff Automation GmbH & Co. KG 受影响产品及版本 TE1000 漏洞概述 Beckhoff的TwinCAT 3 Engineering软件用于创建自动化项目，这些项目由存储在本地文件夹或打包文件中的文件集组成。TwinCAT 3 Engineering将用户设置和偏好存储在未打包的本地文件中，这些文件与继续以前的工作有关，称为“解决方案用户选项（suo）文件”。当这些设置被操纵或以特定方式制作时，TwinCAT 3 Engineering会根据这些设置执行任意命令，当用户使用TwinCAT 3 Engineering打开项目时，这些命令会在用户上下文中执行。 CVE ID CVE-2025-41701 最后更新时间 2025年9月8日上午10:34 严重性 7.0 (CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) 弱点 反序列化不受信任的数据 (CWE-502) 摘要 未经身份验证的攻击者可以通过打开一个故意操纵的项目文件来诱骗本地用户执行任意命令，该文件使用受影响的工程工具。这些任意命令在用户上下文中执行。 影响 具有访问本地文件权限的攻击者可以通过打开一个故意操纵的项目文件来诱骗本地用户执行任意命令，该文件使用受影响的工程工具。这些任意命令在用户上下文中执行。如果安装了较旧版本的工程工具，则对项目文件的故意操纵可能导致这些工具被用来打开它。 解决方案 请更新到受影响产品的最新版本，并卸载TwinCAT 3 Engineering的旧版本。确保旧版本的TwinCAT 3 Engineering不会作为“远程管理器”版本出现。从您的项目中删除对TwinCAT 3 Engineering的“固定”，如果存在的话。 报告者 CERT@VDE协调Beckhoff

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Beckhoff TwinCAT 3 Engineering 反序列化漏洞 (CVE-2025-41701)

目标达成感谢每一位支持者 — 我们达成了 100% 目标！