CVE-2025-56513-NiceHash-Update-Chain-Compromise

#CVE-2025-56513

NiceHash QuickMiner 更新机制中的关键供应链漏洞

作者：Prince T Philip 角色：独立安全研究员 严重性：严重 — CVSS 9.8 影响：远程代码执行 / 供应链攻陷 状态：已公开披露并分配 CVE-2025-56513

执行摘要

CVE-2025-56513 是在 NiceHash QuickMiner v6.12.0 中发现的一个严重漏洞，允许远程攻击者破坏软件更新过程并在受害机器上执行任意代码。

根本原因是应用程序使用未加密的 HTTP 进行更新交付，同时缺乏数字签名验证或完整性检查。 这一设计缺陷使网络级攻击者能够执行中间人（MITM）攻击，并用恶意载荷替换合法更新。

该漏洞代表了严重的软件供应链风险，影响全球用户。

受影响产品

产品：NiceHash QuickMiner

版本：v6.12.0

组件：自动更新机制

平台：Windows

攻击向量：网络（MITM）

技术分析

根本原因

更新工作流执行以下不安全操作：

1. 通过未加密的 HTTP 检索更新元数据

2. 通过未加密的 HTTP 下载更新二进制文件

3. 未经验证即应用更新：

   数字签名

   加密哈希

   发布者真实性

这违反了基本的安全更新原则。

漏洞分类

CWE-319：敏感信息的明文传输

CWE-494：未验证完整性即下载代码

CWE-353：缺少完整性检查支持

攻击场景

与受害者位于同一网络（公共 Wi-Fi、受攻击的路由器、ISP 级攻击者等）的攻击者可：

1. 拦截 HTTP 更新请求

2. 用恶意二进制文件替换合法更新

3. 向受害者提供修改后的载荷

4. 实现完全远程代码执行

由于 QuickMiner 通常以提升的权限运行，攻击者获得系统级控制。

这使更新机制变成了武器化的恶意软件传播渠道。

全球影响

NiceHash QuickMiner 被全球大量用户用于加密货币挖矿操作。 因此，该漏洞暴露了：

个人用户

挖矿农场

企业级部署

云端挖矿基础设施

这构成了全球性的供应链暴露。

CVSS 评分

CVSS v3.1 基础评分：9.8（严重） 向量：AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

建议修复措施

为正确保护更新系统，厂商必须：

1. 对所有更新通信强制执行 HTTPS/TLS

2. 实施强加密签名验证

3. 使用 SHA-256 或更强哈希验证完整性

4. 拒绝未通过验证的更新

5. 对更新服务器采用证书固定

研究员声明

该漏洞突显了一个长期存在的行业失败： 更新机制仍然是现代软件安全中最薄弱的环节之一。

CVE-2025-56513 表明，单个设计疏忽如何能让整个全球用户群面临静默攻陷的风险。

参考文献

CVE 记录：CVE-2025-56513

NiceHash QuickMiner v6.12.0

作者

Prince T Philip 独立安全研究员 专攻攻击性安全与供应链漏洞

结语

本研究成果出于提升全球软件安全、保护用户免受系统性供应链攻陷之目的而发布。

已遵循负责任的披露流程。