CVE-2021-31602 — 神龙十问 AI 深度分析摘要

🚨 **本质**：授权绕过漏洞。 💥 **后果**：未认证用户可**提取敏感信息**。 📉 **影响**：机密性泄露（C:L），完整性/可用性无影响。

🔍 **缺陷点**：Spring Security 配置层。 📄 **文件**：`applicationContext-spring-security.xml`。 ⚠️ **原因**：默认配置允许**无凭据访问**部分资源。

🏢 **厂商**：Hitachi Vantara。 📦 **产品**：Pentaho / Business Intelligence Server。 📅 **版本**：Pentaho **9.1** 及以下；BI Server **7.x** 及以下。

🕵️ **黑客行为**：绕过认证。 📂 **获取数据**：提取平台**部分信息**。 🔑 **权限**：无需有效凭据，无需预先了解平台设置。

📉 **门槛**：**极低**。 🌐 **网络**：远程（AV:N）。 🔒 **认证**：无需认证（PR:N）。 👤 **交互**：无需用户交互（UI:N）。

🧪 **PoC**：有现成模板。 🔗 **来源**：ProjectDiscovery Nuclei、Chaitin Xray。 🔥 **在野**：数据未明确提及，但PoC已公开。

🔎 **自查**：扫描 `applicationContext-spring-security.xml` 配置。 📡 **工具**：使用 Nuclei 或 Xray 模板检测。 👀 **特征**：检查未授权访问敏感端点。

🛡️ **官方**：Hitachi 发布安全公告。 📝 **链接**：hitachi.com/hirt/security。 🔧 **建议**：查阅官方安全页面获取最新补丁信息。

🚧 **临时规避**：强化 `applicationContext` 安全配置。 🔒 **措施**：确保所有访问控制层需**有效凭据**。 🚫 **限制**：禁止未认证用户访问敏感数据。

⚡ **优先级**：**高**。 📉 **CVSS**：3.1 (Low)，但**远程无认证**。 🚀 **行动**：立即检查版本，应用配置修复或补丁。