CVE-2019-18935 — 神龙十问 AI 深度分析摘要

🚨 **本质**：.NET JSON 反序列化漏洞。 💥 **后果**：远程攻击者通过构造恶意请求，可在 **w3wp.exe** 进程上下文中执行 **任意代码 (RCE)**。

🔍 **缺陷点**：**RadAsyncUpload** 组件。 📉 **原因**：不安全地反序列化 JSON 对象，导致信任边界失效。

🎯 **目标**：Progress **Telerik UI for ASP.NET AJAX**。 📦 **版本**：**2019.3.1023 及之前**的所有版本均受影响。

👑 **权限**：获得 **w3wp.exe** (IIS 工作进程) 权限。 📂 **数据**：可完全控制服务器，窃取数据、植入后门或横向移动。

⚡ **门槛**：低。 🌐 **条件**：远程利用，无需认证（通常）。需知晓或获取 **硬编码密钥** 或 **web.config** 内容以解密/加密 rauPostData。

🔥 **Exp**：有！GitHub 上有多个 **PoC** 和 **Python 扫描器**。 🌍 **在野**：已有报道显示被用于攻击美国联邦机构。

🛡️ **自查**：使用 Python 扫描器（如 `telerik_rce_scan.py`）。 🔎 **特征**：检测目标是否响应特定的 Telerik 反序列化探测请求。

✅ **补丁**：官方已发布修复。 📅 **版本**：升级至 **2020.1.114** 或更高版本可修复此漏洞。

🚧 **临时规避**： 1. 升级组件。 2. 若无法升级，需保护 **web.config** 防止密钥泄露。 3. 限制对 **RadAsyncUpload** 处理程序的访问。

⚠️ **优先级**：**极高**。 🔥 **理由**：RCE 漏洞 + 现成 Exp + 在野利用 + 影响范围广。建议 **立即** 升级或实施缓解措施。