一、关于排查数科OFD 文档处理软件升级服务程序安全漏洞的通知

1. 风险内容

   该软件 SuwellUpdateService 程序运行后会监听本机的 5000 端口，接收并校验执行内网中其他主机发送的数据包。攻击者可通过构造包含命令执行指令的数据包并发送至目标主机，从而利用漏洞“欺骗”程序执行攻击者的命令，进而获取目标主机控制权限。漏洞影响数科 OFD 文档处理软件 Linux 信创版。

2. 影响范围  

3. 修复建议

  联系信息中心获取版本更新链接。

4. 排查要求

  如有发现请及时于4月13日前上报信息中心。

二、Google Chrome Dawn Use-After-Free 风险

1. 风险内容

   该漏洞源于程序在释放内存后仍继续使用已失效指针，导致内存访问异常。攻击者在已突破 renderer process 沙箱的前提下，可通过构造恶意 HTML 页面触发该漏洞，从而实现任意代码执行或突破安全边界。该漏洞已被确认在野利用，表明其具备较高攻击价值与现实威胁。一旦被成功利用，可能导致用户终端被完全控制、敏感数据泄露，甚至成为攻击跳板，进而违反数据安全与隐私保护相关合规要求，对企业及个人用户构成严重安全风险。

2. 影响范围  

3. 修复建议

   联系信息中心获取版本更新链接。

三、vLLM trust_remote_code 绕过远程代码执行风险

1. 风险内容

  该漏洞存在于 modeline 解析机制及相关选项实现中，由于 complete、guitabtooltip 和 printheader 等选项未正确设置 P_MLE或 P_SECURE 安全标志，导致 modeline 安全检查被绕过。同时，mapset()函数缺少 check_secure()校验，使攻击者可在受限环境中执行恶意表达式。攻击者可通过构造特制文件诱导用户打开，从而在本地执行任意操作系统命令，获取用户权限并进一步控制系统。该漏洞可能违反企业终端安全及数据保护相关合规要求，对开发环境及运维主机安全构成严重威胁。

2. 影响范围  

3. 修复建议

  联系信息中心获取版本更新链接。

四、Microsoft Office 代码执行风险

1. 风险内容

  攻击者可利用漏洞执行任意代码，获取系统操作权限，窃取用户敏感信息、篡改文件数据、植入恶意程序，甚至实现远程控制设备，严重威胁用户数据安全与设备运行安全，可能导致个人隐私泄露、企业核心数据外泄、系统被入侵破坏等一系列安全风险。

2. 影响范围  

3. 修复建议

 联系信息中心获取版本更新链接。