CVE-2021-22911 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Rocket.Chat 存在 **未经验证的 NoSQL 盲注入**。 💥 **后果**：攻击者可窃取密码重置令牌，接管账号，最终导致 **远程代码执行 (RCE)**。

🔍 **CWE**：CWE-75 (外部组件控制路径/NoSQL注入)。 📍 **缺陷点**：`getPasswordPolicy` 接口中的 **password reset token** 参数未过滤，允许使用 `$regex` 操作符。

📦 **产品**：Rocket.Chat Server。 📅 **版本**：3.11, 3.12, 3.13 版本存在风险。

🕵️ **权限**：无需认证 (Pre-Auth)。 📊 **数据**：泄露用户密码重置令牌，接管普通用户及 **管理员账号**。 💻 **能力**：接管 Admin 后可实现 **RCE**。

🚪 **门槛**：**极低**。 🔑 **认证**：**无需登录/授权**。 ⚙️ **配置**：若目标未开启 2FA，利用成功率更高。

💣 **Exp**：**有现成 PoC**。 🔗 **来源**：GitHub 上有多份 PoC (如 CsEnox, optionalCTF, Rust 版本)。 🌍 **在野**：HackerOne 报告已公开，利用工具成熟。

🔎 **自查**：检查 Rocket.Chat 版本是否为 3.11-3.13。 🛠️ **扫描**：使用现有 PoC 脚本对 `getPasswordPolicy` 接口进行盲注测试。 📝 **特征**：关注 token 参数是否被解析为 JSON 对象并执行正则匹配。

🛡️ **修复**：官方已发布补丁。 📌 **建议**：立即升级至 **非受影响版本** (3.14+ 或最新稳定版)。 🔒 **缓解**：确保管理员开启 **2FA (双因素认证)** 可大幅降低 RCE 风险。

⚠️ **临时规避**： 1️⃣ 强制所有管理员启用 **2FA**。 2️⃣ 限制对 Rocket.Chat 实例的 **公网访问** (WAF/防火墙)。 3️⃣ 监控异常的用户注册和密码重置行为。

🔥 **优先级**：**紧急 (Critical)**。 💡 **理由**：无需认证即可利用，且直接通向 RCE，危害极大。 🏃 **行动**：立即升级或应用缓解措施。