CVE-2019-20933 — 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：InfluxDB 时序数据库的 **JWT 认证绕过**。 💥 **后果**：攻击者无需合法凭证即可直接登录，**完全接管**数据库权限，导致数据泄露或篡改。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：`services/httpd/handler.go` 中的认证逻辑。 🧠 **原因**：JWT 令牌允许 **空的 SharedSecret**（共享密钥），导致签名验证失效。
Q3影响谁？（版本/组件）
📦 **组件**：Influxdata InfluxDB。 📅 **版本**：**1.7.6 之前**的所有版本（如 1.7.5 等）。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**： 1. **绕过认证**：直接获取访问权限。 2. **数据操作**：读取敏感时序数据、修改或删除数据。 3. **管理员操作**：执行未授权的后台管理任务。
Q5利用门槛高吗？（认证/配置）
📉 **门槛**：**极低**。 🔓 **条件**：无需复杂配置，只需利用 JWT 空密钥特性即可构造恶意请求，自动化脚本可轻松实现。
Q6有现成Exp吗？（PoC/在野利用）
💻 **现成 Exp**：**有**。 🔗 多个 GitHub 仓库提供 PoC（如 `LorenzoTullini/InfluxDB-Exploit-CVE-2019-20933`），支持自动探测和远程查询 shell。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**： 1. 检查 InfluxDB 版本是否 < 1.7.6。 2. 使用 Nuclei 模板 (`CVE-2019-2019-20933.yaml`) 进行扫描。 3. 验证 JWT 签名验证逻辑是否处理了空密钥情况。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：**已修复**。 ✅ **方案**：升级至 **InfluxDB 1.7.6** 或更高版本，修复了 JWT 共享密钥的空值检查逻辑。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**： 1. **升级**是唯一彻底方案。 2. 若无法升级，建议**禁用 HTTP API 外部访问**，仅允许内网访问，并配置强防火墙策略。
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。 ⏳ **建议**：鉴于 PoC 公开且利用简单，建议**立即升级**至 1.7.6+，防止数据被恶意篡改或窃取。