文章总结： 这篇文档是腾讯玄武实验室发布的每日安全动态推送，涵盖了多个最新的安全漏洞和分析，包括WindowsLNK文件UI欺骗漏洞、DrayTek路由器固件解密、md-to-pdf的FrontMatter漏洞、V8引擎漏洞、智能手表固件提取技术、VSCode恶意扩展和IvantiEPM存储型XSS漏洞。这些内容涉及多个安全领域，提供了最新的安全威胁信息和漏洞分析，对安全研究人员和从业人员有重要参考价值。 综合评分： 88 文章分类： 漏洞分析,威胁情报,IoT安全,WEB安全,漏洞预警

每日安全动态推送(25/12/15)

原创

admin

腾讯玄武实验室

2025年12月15日 18:16 北京

•  Windows LNK 文件 UI 误导导致远程代码执行漏洞分析 https://cxsecurity.com/issue/WLB-2025120015

本文详细披露了一个影响多个Windows版本的LNK文件UI欺骗漏洞（CVE-2025-9491），攻击者可构造看似合法的快捷方式文件执行任意代码且无用户警告，具有极高的隐蔽性和危害性，对安全防御体系提出了重要警示。

•  DrayTek Vigor3910 工业路由器固件解密与逆向分析：CVE-2024-41592/23721漏洞复现 – IOTsec-Zone https://www.iotsec-zone.com/article/524

本文深入剖析了Draytek路由器固件的加密机制与解密过程，揭示了其使用硬编码ChaCha20密钥和Nonce的严重安全隐患。通过逆向工程与模拟环境构建，成功解密并运行了加密固件，为固件安全分析提供了宝贵的实践参考。

•  通过 md-to-pdf 的 Front Matter 漏洞实现远程代码执行（CVE-2025-65108 分析） https://hackyboiz.github.io/2025/12/13/bekim/2025-12-13/

本文深入剖析了 md-to-pdf 中因处理 YAML front-matter 所引发的远程代码执行漏洞（CVE-2025-65108），揭示了攻击者可通过构造恶意 Markdown 文件在 PDF 转换过程中执行任意 JavaScript 代码的关键机制，对开发者和用户具有重要警示意义。

•  V8 引擎漏洞 CVE-2025-6554 分析及新型 the_hole 泄漏技术研究 https://www.freebuf.com/articles/vuls/458403.html

本文深入分析了V8引擎中一个全新的the_hole泄漏漏洞CVE-2025-6554，揭示了其利用Ignition字节码生成器中作用域生命周期管理缺陷的创新攻击路径，为理解JavaScript引擎安全边界提供了重要参考。

•  通过屏幕像素复兴’Blinkenlights’技术提取智能手表固件 https://cybersecuritynews.com/researchers-revive-2000s-blinkenlights-technique/

本文展示了如何通过将一种已有20年历史的攻击方法——Blinkenlights——与现代硬件技术结合，成功从廉价智能手表中提取固件，揭示了嵌入式设备在安全设计上的重大漏洞。其最大亮点在于，利用低成本硬件和创意性攻击手段，突破了传统固件提取的限制。

•  VSCode Marketplace恶意扩展通过伪造PNG文件隐藏特洛伊木马 https://www.bleepingcomputer.com/news/security/malicious-vscode-marketplace-extensions-hid-trojan-in-fake-png-file/

本文揭示了一个针对 VSCode 扩展市场的隐蔽恶意活动，攻击者通过捆绑恶意依赖项和伪装成 PNG 图像的恶意二进制文件实现持久化攻击，突显了供应链安全的重要性。

•  Ivanti EPM 存储型 XSS 漏洞（CVE-2025-10573） https://sectoday.tencent.com/event/lDRqCJsBzXSmEGIINmRw

CVE-2025-10573 是 Ivanti Endpoint Manager (EPM) 中的一个高危存储型跨站脚本（XSS）漏洞，攻击者无需认证即可通过 ‘incomingdata’ API 向管理员仪表板注入恶意 JavaScript，从而实现会话劫持并执行任意代码。该漏洞影响 EPM 2024 SU4 及以下版本，已被 Ivanti 于 2025 年 12 月 9 日发布的 EPM 2024 SU4 SR1 修复。Rapid7 的 Ryan Emmons 发现了此漏洞并进行了负责任地披露。

* 查看或搜索历史推送内容请访问： https://sectoday.tencent.com/ * 新浪微博账号： 腾讯玄武实验室 https://weibo.com/xuanwulab * 微信公众号： 腾讯玄武实验室

查看原文：《每日安全动态推送(25/12/15)》