【缝隙公告】Windows Vim 蹊径劫持缝隙导致远程代码执行(CVE-2025-66476)
颁布功夫 2025-12-03一、缝隙概述
缝霞称 | Windows Vim 蹊径劫持缝隙导致远程代码执行 | ||
CVE ID | CVE-2025-66476 | ||
缝隙类型 | 蹊径劫持缝隙 | 发现功夫 | 2025-12-3 |
缝隙评分 | 7.8 | 缝隙等级 | 高危 |
攻击向量 | 本地 | 所需权限 | 无 |
利用难度 | 低 | 用户交互 | 必要 |
PoC/EXP | 已公开 | 在野利用 | 未发现 |
Vim是一款壮大的文本编纂器 ，宽泛用于法式开发和系统治理。它基于Vi编纂器 ，提供高效的键盘操作模式 ，支持多种编程说话的语法高亮、自动补全和插件扩大。Vim的操作基于模式切换 ，蕴含号令模式、插入模式和可视模式 ，用户可通过键盘快捷键进行急剧编纂和文件治理。Vim的高度可定造性和丰硕的插件生态使其成为开发人员和系统治理员的首选工具之一 ，尤其合用于高效的代码编写和文本处置。
2025年12月3日 ，宝运莱官方网站集团VSRC监测到一个影响Vim（Windows）的缝隙 ，Vim在执行表部号令时（如:grep使用Windows的findstr.exe）会优先搜索当前工作目录 ，而不是系统蹊径。这使得攻击者可能在项目目录中搁置假装成合法可执行文件的恶意文件（例如findstr.exe）。当用户在Vim中执行诸如:grep或其他表部号令时 ，Vim可能无意中执行这些恶意文件 ，导致远程号令执行。该缝隙不必要提升权限 ，攻击者能够利用该缝隙在用户系统上执行肆意代码 ，获取与Vim用户一样的权限。
二、影响领域
Vim（Windows） < v9.1.1947
三、安全措施
3.1 升级版本
官方已颁布建复补丁 ，以建复该缝隙。
下载链接：https://www.vim.org/download.php/
3.2 一时措施
暂无。
3.3 通用建议
? 定期更新系统补丁 ，削减系统缝隙 ，提升服务器的安全性。
京公网安备11010802024551号