关键漏洞信息 漏洞ID VDE-2025-063 发布与更新时间 发布时间: 2025-08-12 10:00 (CEST) 最后更新时间: 2025-08-12 10:29 (CEST) 厂商与产品 厂商: PHOENIX CONTACT GmbH & Co. KG 产品名称: DaUM 影响版本: < 2025.3.1 漏洞概述 漏洞描述: 在Phoenix Contact Device and Update Management Windows Installer中存在权限提升漏洞，由于DAUM-WINDOWS-SERVICE中的nssm.exe权限配置不当，低权限本地用户可以执行任意代码以获得管理权限。 CVE信息 CVE ID: CVE-2025-41886 最后更新时间: 2025年8月8日 15:12 严重性: 7.8 (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) 弱点类型: 关键功能缺少身份验证 (CWE-308) 影响与解决方案 影响: 产品的安装程序允许因nssm.exe引起的权限提升到管理员权限。nssm.exe是一个开源工具，用于简化Windows服务的管理。如果nssm.exe的权限没有正确保护，可能会导致从低权限用户到管理员的权限提升攻击。 解决方案: - 一般建议: Phoenix Contact建议在封闭网络或受适当防火墙保护的环境中操作网络设备。有关保护网络设备的措施，请参阅应用说明。 - 修复措施: 更新到最新2025.3.1版DaUM。 报告者 CERT@VDE协调与Phoenix Contact GmbH & Co. KG