Quest修补了关键的VCE SM缺陷，包括CVSS10身份验证绕过

Quest Software发布了紧急安全修补程序，以解决其KACE系统管理应用方案（SMA）产品线中新发现的四个漏洞，其中一个漏洞的CVSS最高评分为10.0，表明对企业基础架构构成严重威胁。

这些漏洞是在 Seralys 的第三方安全审查期间发现的，影响了 KACE SMA 14.1 及以下版本，并包含可能允许攻击者完全绕过身份验证、上传恶意文件和破坏管理许可的问题。

四个 CVE 及其影响

1.CVE-2025-32975 – 通过 SSO 绕过身份验证 （CVSS 10.0）

最严重的缺陷存在于单点登录 （SSO） 身份验证机制中。该漏洞允许攻击者在不需要有效凭据的情况下模拟任何有效用户，从而授予对系统的完全管理控制权。

“完全绕过任何有效用户名的身份验证。对设备的完全管理访问权限。不需要身份验证凭证，“报告显示。

2.CVE-2025-32976 – 绕过双重身份验证 （CVSS 8.8）

此漏洞破坏了基于时间的一次性密码 （TOTP） 2FA 机制，使经过身份验证的用户能够由于验证过程中的缺陷而绕过双因素身份验证。

“该漏洞存在于 2FA 验证过程中，可以利用它来获得更高的访问权限，”Seralys 表示。

3.CVE-2025-32977 – 未经身份验证的备份文件上传 （CVSS 9.6）

此缺陷允许未经身份验证的攻击者将备份文件上传到系统。尽管存在签名验证机制，但它不够强大，无法防止上传恶意制作的内容。

“可以利用验证过程中的弱点上传可能损害系统完整性的恶意备份内容。”

4.CVE-2025-32978 – 许可证替换漏洞 （CVSS 7.5）

攻击者可以利用面向公众的许可证续订界面，将合法许可证替换为过期或试用版。这可能会导致阻碍管理作的拒绝服务 （DoS） 情况。

“未经身份验证的许可证替换功能。通过许可证损坏拒绝服务，”报告写道。

受影响的版本和缓解措施

Quest 已在一系列适用于以下 KACE SMA 版本的修补程序和修补程序中解决了所有四个漏洞：

• 13.0.385
• 13.1.81
• 13.2.183
• 14.0.341（补丁 5）
• 14.1.101（补丁 4）

敦促用户立即应用提供的更新，以防止潜在的漏洞利用。