关键信息 CVE编号: CVE-2025-32976 漏洞类型: Quest KACE SMA 2FA Bypass 影响产品: Quest KACE Systems Management Appliance (SMA) 受影响版本: - 确认受影响: 14.1 - 可能受影响: 13.0.385, 13.1.81, 13.2.183, 14.0.341(Patch 5), 14.1.0.0 (Patch 4) 修复版本: - 13.0.385 - 13.1.81 - 13.2.183 - 14.0.341 (Patch 5) - 14.1.0.0 (Patch 4) 厂商: Quest Software 发现日期: 2025年4月14日 公开披露日期: 2025年5月27日 CVSS评分: 8.8 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:A/A:H) 发现者: Philippe Catuogno & Mohamad Mahnoudi (Seralys) 漏洞概述 Quest KACE SMA 存在一个逻辑缺陷，允许已认证用户绕过 TOTP 基础的 2FA 要求。该漏洞存在于 2FA 验证过程中，可被利用以获得提升权限。 时间线 2025-04-14: 初始报告提交给 Quest Software 2025-04-16: 厂商确认收到并启动协调披露 2025-05-07: Seralys 确认热修复解决了报告的问题 2025-05-27: Quest 公开发布热修复 2025-06-23: Seralys 高级别公开披露 厂商响应 Quest 已发布修复此漏洞的热修复和补丁，详细信息和补丁可用性记录在他们的公告中。