Adobe的4月补丁
4月，Adobe发布了12个公告，解决了Adobe Cold Fusion、After Effects、Media Encoder、Bridge、Commerce、AEM Forms、Premiere Pro、Photoshop、Animate、AEM Screens、FrameMaker 和Adobe XMP Toolkit SDK中的54个CVE。
Adobe将ColdFusion的补丁列为“优先级1”，意味着尚未有效利用正在修补的错误。AEM Forms的补丁则被定为“优先级2”，表示这些不是新的CVE，而是针对依赖项的更新。虽然Commerce的相关CVE的评级为“重要”和“中等”，但其补丁也被标为“优先级2”。Adobe的其他修复程序均列为“优先级3”。
以下为相关产品的补丁修复情况：
After Effects：修复了7个漏洞，其中2个为严重的RCE。
Media Encoder：修复了2个代码执行漏洞。
AEM Screens：修复了1个XSS漏洞。
FrameMaker：修复了10个CVE，其中包括多个代码执行。
Adobe XMP Toolkit SDK：修复了5种不同的越界(OOB)读取内存泄漏问题。
Adobe称其本月修复的任何漏洞，均在发布前未公布或受攻击。
4 月的 Microsoft 补丁
本月，微软在多个产品和组件中共发布了134个漏洞，其中124个是新的CVE漏洞，涵盖Windows及其组件、Office及其组件、Azure、.NET与Visual Studio、BitLocker、Kerberos、Windows Hello（微软的新一代身份验证方式，可支持生物识别）、OpenSSH以及Windows轻型目录访问协议（LDAP）。
在此次发布的补丁中，有11个被评为“严重（Critical）”，2个被评为“低危（Low）”，其余则被评为“重要（Important）”级别。在这些漏洞中，仅有一个在发布时被列为公开已知或正在被利用的0day漏洞（CVE-2025-29824）。
以下为微软发布的相关漏洞简介：
-CVE-2025-29824 - Windows通用日志文件系统驱动程序提权漏洞
该提权漏洞之前为0day漏洞，目前正受到勒索组织Storm-2460的积极利用，拥有普通权限的攻击者可利用此漏洞以SYSTEM权限执行代码。
-CVE-2025-26663/CVE-2025-26670- Windows轻型目录访问协议(LDAP)RCE漏洞
这些漏洞允许未经身份验证的远程攻击者仅通过发送特制的LDAP消息，在受影响的系统上执行代码。攻击者可利用多种方式绕过竞态条件，且无需用户交互。
- CVE-2025-27480/CVE-2025-27482-Windows远程桌面服务RCE漏洞
这两项严重漏洞无需用户交互即可被利用。攻击者只需攻击启用了RD Gateway的系统，便可触发竞态条件，进而导致代码执行。
-CVE-2025-29809-安全功能绕过漏洞
这是Windows操作系统中Kerberos身份验证协议存在的一个漏洞。该漏洞源于对敏感信息的不安全存储，允许具有本地访问权限的攻击者绕过安全功能。
以下是 Microsoft 在2025 年4 月发布的CVE 的完整列表：
|
CVE 编号 |
漏洞名称 |
安全性 |
CVSS |
类型 |
|
CVE-2025-29824 |
Windows 通用日志文件系统驱动程序特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-26670 |
轻型目录访问协议（LDAP）客户端远程代码执行漏洞 |
危急 |
8.1 |
RCE |
|
CVE-2025-27752 |
Microsoft Excel 远程代码执行漏洞 |
危急 |
7.8 |
RCE |
|
CVE-2025-29791 |
Microsoft Excel 远程代码执行漏洞 |
危急 |
7.8 |
RCE |
|
CVE-2025-27745 |
Microsoft Office 远程代码执行漏洞 |
危急 |
7.8 |
RCE |
|
CVE-2025-27748 |
Microsoft Office 远程代码执行漏洞 |
危急 |
7.8 |
RCE |
|
CVE-2025-27749 |
Microsoft Office 远程代码执行漏洞 |
危急 |
7.8 |
RCE |
|
CVE-2025-27491 |
Windows Hyper-V 远程代码执行漏洞 |
危急 |
7.1 |
RCE |
|
CVE-2025-26663 |
Windows 轻型目录访问协议（LDAP）远程代码执行漏洞 |
危急 |
8.1 |
RCE |
|
CVE-2025-27480 |
Windows 远程桌面服务远程代码执行漏洞 |
危急 |
8.1 |
RCE |
|
CVE-2025-27482 |
Windows 远程桌面服务远程代码执行漏洞 |
危急 |
8.1 |
RCE |
|
CVE-2025-26686 |
Windows TCP/IP 远程代码执行漏洞 |
危急 |
7.5 |
RCE |
|
CVE-2025-27740 |
Active Directory 证书服务特权提升漏洞 |
重要 |
8.8 |
EoP |
|
CVE-2025-29810 |
Active Directory 域服务特权提升漏洞 |
重要 |
7.5 |
EoP |
|
CVE-2025-26682 |
ASP.NET Core 和 Visual Studio 拒绝服务漏洞 |
重要 |
7.5 |
DoS |
|
CVE-2025-25002 |
Azure 本地集群信息泄露漏洞 |
重要 |
6.8 |
信息 |
|
CVE-2025-26628 |
Azure 本地集群信息泄露漏洞 |
重要 |
7.3 |
信息 |
|
CVE-2025-27489 |
Azure 本地特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-26637 |
BitLocker 安全功能绕过漏洞 |
重要 |
6.8 |
SFB （SFB） |
|
CVE-2025-29812 |
DirectX 图形内核特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-27473 |
HTTP.sys 拒绝服务漏洞 |
重要 |
7.5 |
DoS |
|
CVE-2025-27479 |
Kerberos 密钥分发代理服务拒绝服务漏洞 |
重要 |
7.5 |
DoS |
|
CVE-2025-29800 |
Microsoft AutoUpdate (MAU) 特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-29801 |
Microsoft AutoUpdate (MAU) 特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-24060 |
Microsoft DWM 核心库特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-24062 |
Microsoft DWM 核心库特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-24073 |
Microsoft DWM 核心库特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-24074 |
Microsoft DWM 核心库特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-29821 |
Microsoft Dynamics Business Central 信息泄露漏洞 |
重要 |
5.5 |
信息 |
|
CVE-2025-29815 |
Microsoft Edge（基于 Chromium）远程代码执行漏洞 |
重要 |
7.6 |
RCE |
|
CVE-2025-27750 |
Microsoft Excel 远程代码执行漏洞 |
重要 |
7.8 |
RCE |
|
CVE-2025-27751 |
Microsoft Excel 远程代码执行漏洞 |
重要 |
7.8 |
RCE |
|
CVE-2025-29823 |
Microsoft Excel 远程代码执行漏洞 |
重要 |
7.8 |
RCE |
|
CVE-2025-26641 |
Microsoft 消息队列（MSMQ）拒绝服务漏洞 |
重要 |
7.5 |
DoS |
|
CVE-2025-27744 |
Microsoft Office 特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-29792 |
Microsoft Office 特权提升漏洞 |
重要 |
7.3 |
EoP |
|
CVE-2025-26642 |
Microsoft Office 远程代码执行漏洞 |
重要 |
7.8 |
RCE |
|
CVE-2025-27746 |
Microsoft Office 远程代码执行漏洞 |
重要 |
7.8 |
RCE |
|
CVE-2025-29822 |
Microsoft OneNote 安全功能绕过漏洞 |
重要 |
7.8 |
SFB （SFB） |
|
CVE-2025-27731 |
Microsoft OpenSSH for Windows 特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-29793 |
Microsoft SharePoint 远程代码执行漏洞 |
重要 |
7.2 |
RCE |
|
CVE-2025-29794 |
Microsoft SharePoint 远程代码执行漏洞 |
重要 |
8.8 |
RCE |
|
CVE-2025-27471 |
Microsoft 流媒体服务拒绝服务漏洞 |
重要 |
5.9 |
DoS |
|
CVE-2025-27743 |
Microsoft System Center 特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-26688 |
Microsoft 虚拟硬盘特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-27747 |
Microsoft Word 远程代码执行漏洞 |
重要 |
7.8 |
RCE |
|
CVE-2025-29820 |
Microsoft Word 远程代码执行漏洞 |
重要 |
7.8 |
RCE |
|
CVE-2025-29816 |
Microsoft Word 安全功能绕过漏洞 |
重要 |
7.5 |
SFB （SFB） |
|
CVE-2025-27483 |
NTFS 特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-27733 |
NTFS 特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-27741 |
NTFS 特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-27742 |
NTFS 信息泄露漏洞 |
重要 |
5.5 |
信息 |
|
CVE-2025-29805 |
Android 版 Outlook 信息泄露漏洞 |
重要 |
7.5 |
信息 |
|
CVE-2025-27487 |
远程桌面客户端远程代码执行漏洞 |
重要 |
8 |
RCE |
|
CVE-2025-26679 |
RPC 端点映射服务特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-20570 |
Visual Studio Code 特权提升漏洞 |
重要 |
6.8 |
EoP |
|
CVE-2025-29802 |
Visual Studio 特权提升漏洞 |
重要 |
7.3 |
EoP |
|
CVE-2025-29804 |
Visual Studio 特权提升漏洞 |
重要 |
7.3 |
EoP |
|
CVE-2025-29803 |
Visual Studio 应用工具和 SQL Server 管理工作室特权提升漏洞 |
重要 |
7.3 |
EoP |
|
CVE-2025-26681 |
Win32k 特权提升漏洞 |
重要 |
6.7 |
EoP |
|
CVE-2025-26687 |
Win32k 特权提升漏洞 |
重要 |
7.5 |
EoP |
|
CVE-2025-29819 |
Azure 门户中的 Windows 管理中心信息泄露漏洞 |
重要 |
6.2 |
信息 |
|
CVE-2025-27490 |
Windows 蓝牙服务特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-29808 |
Windows 加密服务信息泄露漏洞 |
重要 |
5.5 |
信息 |
|
CVE-2025-26678 |
Windows Defender 应用程序控制安全功能绕过漏洞 |
重要 |
8.4 |
SFB （SFB） |
|
CVE-2025-26640 |
Windows 数字媒体特权提升漏洞 |
重要 |
7 |
EoP |
|
CVE-2025-27467 |
Windows 数字媒体特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-27476 |
Windows 数字媒体特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-27730 |
Windows 数字媒体特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-24058 |
Windows DWM 核心库特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-27732 |
Windows 图形组件特权提升漏洞 |
重要 |
7 |
EoP |
|
CVE-2025-26635 |
Windows Hello 安全功能绕过漏洞 |
重要 |
6.5 |
SFB （SFB） |
|
CVE-2025-26644 |
Windows Hello 欺骗漏洞 |
重要 |
6.2 |
欺骗 |
|
CVE-2025-27727 |
Windows 安装程序特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-26647 |
Windows Kerberos 特权提升漏洞 |
重要 |
8.1 |
EoP |
|
CVE-2025-29809 † |
Windows Kerberos 安全功能绕过漏洞 |
重要 |
7.1 |
SFB （SFB） |
|
CVE-2025-26648 |
Windows 内核特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-27739 |
Windows 内核特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-27728 |
Windows 内核模式驱动程序特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-26673 |
Windows 轻型目录访问协议（LDAP）拒绝服务漏洞 |
重要 |
7.5 |
DoS |
|
CVE-2025-27469 |
Windows 轻型目录访问协议（LDAP）拒绝服务漏洞 |
重要 |
7.5 |
DoS |
|
CVE-2025-21191 |
Windows 本地安全机构（LSA）特权提升漏洞 |
重要 |
7 |
EoP |
|
CVE-2025-27478 |
Windows 本地安全机构（LSA）特权提升漏洞 |
重要 |
7 |
EoP |
|
CVE-2025-26651 |
Windows 本地会话管理器（LSM）拒绝服务漏洞 |
重要 |
6.5 |
DoS |
|
CVE-2025-27472 |
Windows 网络标记安全功能绕过漏洞 |
重要 |
5.4 |
SFB （SFB） |
|
CVE-2025-26666 |
Windows 媒体远程代码执行漏洞 |
重要 |
7.8 |
RCE |
|
CVE-2025-26674 |
Windows 媒体远程代码执行漏洞 |
重要 |
7.8 |
RCE |
|
CVE-2025-29811 |
Windows 移动宽带驱动程序特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-21197 |
Windows NTFS 信息泄露漏洞 |
重要 |
6.5 |
信息 |
|
CVE-2025-27736 |
Windows 电源依赖协调器信息泄露漏洞 |
重要 |
5.5 |
信息 |
|
CVE-2025-21204 |
Windows 进程激活特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-26671 |
Windows 远程桌面服务远程代码执行漏洞 |
重要 |
8.1 |
RCE |
|
CVE-2025-27738 |
Windows 弹性文件系统（ReFS）信息泄露漏洞 |
重要 |
6.5 |
信息 |
|
CVE-2025-21203 |
Windows 路由与远程访问服务（RRAS）信息泄露漏洞 |
重要 |
6.5 |
信息 |
|
CVE-2025-26664 |
Windows 路由与远程访问服务（RRAS）信息泄露漏洞 |
重要 |
6.5 |
信息 |
|
CVE-2025-26667 |
Windows 路由与远程访问服务（RRAS）信息泄露漏洞 |
重要 |
6.5 |
RCE |
|
CVE-2025-26669 |
Windows 路由与远程访问服务（RRAS）信息泄露漏洞 |
重要 |
8.8 |
信息 |
|
CVE-2025-26672 |
Windows 路由与远程访问服务（RRAS）信息泄露漏洞 |
重要 |
6.5 |
信息 |
|
CVE-2025-26676 |
Windows 路由与远程访问服务（RRAS）信息泄露漏洞 |
重要 |
6.5 |
信息 |
|
CVE-2025-27474 |
Windows 路由与远程访问服务（RRAS）信息泄露漏洞 |
重要 |
6.5 |
信息 |
|
CVE-2025-26668 |
Windows 路由与远程访问服务（RRAS）远程代码执行漏洞 |
重要 |
7.5 |
RCE |
|
CVE-2025-26649 |
Windows 安全通道特权提升漏洞 |
重要 |
7 |
EoP |
|
CVE-2025-27492 |
Windows 安全通道特权提升漏洞 |
重要 |
7 |
EoP |
|
CVE-2025-27737 |
Windows 安全区域映射安全功能绕过漏洞 |
重要 |
8.6 |
SFB （SFB） |
|
CVE-2025-27729 |
Windows Shell 远程代码执行漏洞 |
重要 |
7.8 |
RCE |
|
CVE-2025-21174 |
Windows 基于标准存储管理服务拒绝服务漏洞 |
重要 |
7.5 |
DoS |
|
CVE-2025-26652 |
Windows 基于标准存储管理服务拒绝服务漏洞 |
重要 |
7.5 |
DoS |
|
CVE-2025-26680 |
Windows 基于标准存储管理服务拒绝服务漏洞 |
重要 |
7.5 |
DoS |
|
CVE-2025-27470 |
Windows 基于标准存储管理服务拒绝服务漏洞 |
重要 |
7.5 |
DoS |
|
CVE-2025-27485 |
Windows 基于标准存储管理服务拒绝服务漏洞 |
重要 |
7.5 |
DoS |
|
CVE-2025-27486 |
Windows 基于标准存储管理服务拒绝服务漏洞 |
重要 |
7.5 |
DoS |
|
CVE-2025-26675 |
Windows 子系统 Linux 特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-21205 |
Windows 电话服务远程代码执行漏洞 |
重要 |
8.8 |
RCE |
|
CVE-2025-21221 |
Windows 电话服务远程代码执行漏洞 |
重要 |
8.8 |
RCE |
|
CVE-2025-21222 |
Windows 电话服务远程代码执行漏洞 |
重要 |
8.8 |
RCE |
|
CVE-2025-27477 |
Windows 电话服务远程代码执行漏洞 |
重要 |
8.8 |
RCE |
|
CVE-2025-27481 |
Windows 电话服务远程代码执行漏洞 |
重要 |
8.8 |
RCE |
|
CVE-2025-27484 |
Windows 通用即插即用（UPnP）设备主机特权提升漏洞 |
重要 |
7.5 |
EoP |
|
CVE-2025-27475 |
Windows 更新堆栈特权提升漏洞 |
重要 |
7 |
EoP |
|
CVE-2025-26665 |
Windows upnphost.dll 特权提升漏洞 |
重要 |
7 |
EoP |
|
CVE-2025-26639 |
Windows USB 打印驱动程序特权提升漏洞 |
重要 |
7.8 |
EoP |
|
CVE-2025-27735 |
Windows 基于虚拟化的安全（VBS）安全功能绕过漏洞 |
重要 |
6 |
SFB （SFB） |
|
CVE-2025-25001 |
iOS 版 Microsoft Edge 欺骗漏洞 |
低 |
4.3 |
欺骗 |
|
CVE-2025-29796 |
iOS 版 Microsoft Edge 欺骗漏洞 |
低 |
4.7 |
欺骗 |
|
CVE-2025-3066 |
Chromium：CVE-2025-3066 使用后释放漏洞（导航） |
高 |
不适用 |
RCE |
|
CVE-2025-3067 |
Chromium：CVE-2025-3067 自定义标签实现不当 |
中等 |
不适用 |
不适用 |
|
CVE-2025-3068 |
Chromium：CVE-2025-3068 Intents 实现不当 |
中等 |
不适用 |
不适用 |
|
CVE-2025-3069 |
Chromium：CVE-2025-3069 扩展中实现不当 |
中等 |
不适用 |
不适用 |
|
CVE-2025-3070 |
Chromium：CVE-2025-3070 扩展中的不信任输入验证不足 |
中等 |
不适用 |
不适用 |
|
CVE-2025-3071 |
Chromium：CVE-2025-3071 导航中实现不当 |
低 |
不适用 |
不适用 |
|
CVE-2025-3072 |
Chromium：CVE-2025-3072 自定义标签实现不当 |
低 |
不适用 |
不适用 |
|
CVE-2025-3073 |
Chromium：CVE-2025-3073 自动填充实现不当 |
低 |
不适用 |
不适用 |
|
CVE-2025-3074 |
Chromium：CVE-2025-3074 下载中实现不当 |
低 |
不适用 |
不适用 |
参考文档：
https://www.zerodayinitiative.com/blog/2025/4/8/the-april-2025-security-update-review
https://thehackernews.com/2025/04/microsoft-patches-126-flaws-including.html
https://www.microsoft.com/en-us/security/blog/2025/04/08/exploitation-of-clfs-zero-day-leads-to-ransomware-activity/
原文始发于微信公众号（WeeklyFeed）：2025年4月 Adobe&Microsoft安全更新回顾
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论