FreeBuf早报 | Jira路径遍历漏洞可致任意文件写入；GitLab多安全漏洞可触发拒绝服务
内容提要
全球网络安全事件频发，包括Jira和GitLab等高危漏洞，可能导致远程代码执行或服务拒绝。捷豹路虎遭受网络攻击，损失达25亿美元。此外，Rust库和AI Agent也存在安全隐患，需加强监控与防护。
关键要点
-
Jira路径遍历漏洞（CVE-2025-22167）可导致任意文件写入，建议立即升级修复版本。
-
GitLab发布补丁修复多个高危DoS漏洞，建议自托管实例立即升级。
-
Kali官方仓库中的Impacket工具迎来重大升级，增强中继攻击能力。
-
Oracle VM VirtualBox曝多个高危漏洞，攻击者可完全控制虚拟环境，建议立即更新。
-
捷豹路虎遭网络攻击导致英国经济损失25亿美元，影响5000家企业。
-
Rust库_async-tar_存在高危漏洞（CVE-2025-62518），可导致远程代码执行，需迁移至已修复版本。
-
攻击者滥用OAuth应用获取云环境持久访问，建议培训用户识别恶意应用。
-
摩洛哥黑客组织利用云技术攻击零售商，通过钓鱼窃取凭证，建议加强身份监控。
-
主流AI Agent存在关键参数注入漏洞，攻击者可实现远程代码执行，需加强安全措施。
-
Rust异步TAR库存在高危漏洞（CVE-2025-62518），攻击者可植入恶意档案，需保持警惕。
延伸解读
Jira漏洞的严重性
Jira的路径遍历漏洞（CVE-2025-22167）具有高达8.7的CVSS评分，意味着其潜在风险极高。攻击者可以利用此漏洞进行任意文件写入，可能导致远程代码执行。因此，企业应优先考虑及时升级至修复版本，以防止数据泄露和系统被攻击。
GitLab的安全更新
GitLab近期发布的补丁修复了多个高危DoS漏洞，CVSS评分最高达8.5。这些漏洞可能导致系统崩溃或权限问题，影响自托管实例的安全性。用户应立即更新，以确保系统的稳定性和安全性，避免潜在的服务中断。
Rust库的逻辑漏洞风险
Rust库_async-tar_存在的高危漏洞（CVE-2025-62518）表明，即使Rust语言以内存安全著称，逻辑错误依然是不可忽视的风险。开发者需定期审计依赖库，并及时迁移至已修复版本，以降低远程代码执行和供应链攻击的风险。
云环境中的OAuth风险
攻击者滥用OAuth应用获取云环境的持久访问权限，表明企业在身份管理和应用监控方面存在漏洞。即使启用多因素认证，攻击者仍可能通过钓鱼手段获取高权限账户。企业应加强用户培训，提升识别恶意应用的能力，及时撤销异常授权。
延伸问答
Jira路径遍历漏洞的影响是什么？
Jira路径遍历漏洞（CVE-2025-22167）可导致任意文件写入，可能引发远程代码执行。
如何修复GitLab的高危DoS漏洞？
建议自托管实例立即升级至GitLab发布的18.5.1等补丁版本，以修复多个高危DoS漏洞。
捷豹路虎遭受网络攻击的后果是什么？
捷豹路虎遭网络攻击导致英国经济损失25亿美元，影响5000家企业，造成供应链中断。
Rust库_async-tar_的漏洞风险是什么？
Rust库_async-tar_存在高危漏洞（CVE-2025-62518），可导致远程代码执行和供应链攻击。
攻击者如何利用OAuth应用进行攻击？
攻击者滥用OAuth应用获取云环境持久访问，可能通过钓鱼入侵高权限账户创建恶意内部应用。
Oracle VM VirtualBox的漏洞有哪些？
Oracle VM VirtualBox曝出多个高危漏洞，攻击者可完全控制虚拟环境，建议立即更新。
