一、Microsoft Office 安全特性绕过风险
Microsoft Office 是由微软公司开发的一套办公软件套件，广泛应用于个人、企业和教育领域。
1. 风险内容
攻击者可通过向受害者发送恶意构造的 Office 文件，诱使其打开后触发该漏洞。成功利用该漏洞后，攻击者可绕过 Microsoft 365 和 Microsoft Office 中用于保护用户免受易受攻击的 COM/OLE 控件侵害的安全机制，进而可能导致机密性、完整性和可用性的全面损害。预览窗口不受影响，攻击者必须诱使用户实际打开恶意文件才能触发漏洞。
2. 影响范围
Microsoft Office 2016
Microsoft Office 2019
Microsoft Office LTSC 2024
Microsoft Office LTSC 2021
Microsoft 365 Apps for Enterprise
3. 修复建议
(1)Click-to-Run 版本用户（Office 2019、LTSC 2021、LTSC 2024、Microsoft 365 Apps）Click-to-Run 版本通过 Office 应用内置的自动更新机制获取安全更新，无需手动下载独立补丁。请按以下步骤操作：打开任意 Office 应用，点击「文件」→「帐户」→「更新选项」→「立即更新」更新完成后重启所有 Office 应用程序。
(2)MSI 安装版本用户（Office 2016）传统 MSI 版本需手动下载并安装安全更新补丁(联系信息中心获取更新链接)。
二、vLLM auto_map 动态模块远程代码执行风险
vLLM 是一个高性能的大模型推理框架，广泛用于推理服务、AI 应用后端与生产级模型部署场景。
1. 风险内容
该漏洞源于 vLLM 在解析模型配置时，无条件加载 HuggingFace 模型中的 auto_map 动态模块，且未对 trust_remote_code选项进行有效校验。攻击者一旦能够控制模型仓库路径（本地目录或远程仓库），即可在模型加载过程中注入并执行任意 Python 代码。该行为发生在服务启动阶段，请求处理之前，无需任何接口访问权限，风险较高，可能直接导致宿主系统被完全控制。
2. 影响范围
0.10.1 <= vLLM < 0.14.0
3. 修复建议
联系信息中心获取版本更新链接。
三、GNU InetUtils telnetd 存在远程认证绕过风险
Telnet 是一种基于 TCP 的远程终端访问服务与应用层协议，允许用户通过网络在本地主机上远程登录并操作另一台服务器，广泛用于类 Unix 系统的远程管理与设备运维。
1. 风险内容
该漏洞源于 telnetd 在调用/usr/bin/login 进行用户登录时，未对客户端传入的 USER 环境变量进行有效校验与过滤，直接将其作为参数传递给 login 程序。当攻击者通过 telnet 客户端使用-a或--login 参数，并构造 USER=-f root 的环境变量时，可触发 login 的-f 免认证机制，从而在无需任何合法凭据的情况下直接以root 身份登录系统。攻击者仅须具备网络访问 telnetd 服务的能力即可完成利用。一旦成功，可能导致系统被完全接管，造成严重的权限提升与安全风险。
2. 影响范围
1.9.3 <= GNU InetUtils <= 2.7
3. 修复建议
联系信息中心获取版本更新链接。
