CVE-2021-38147
— 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Wipro Holmes Orchestrator 存在**访问控制错误**。📉 **后果**：未经身份验证的攻击者可**直接下载**以前导出的 Excel 报告，导致敏感信息泄露。
Q2根本原因？（CWE/缺陷点）
🛡️ **缺陷点**：**身份验证缺失**。API 端点未强制要求认证，导致任何用户都能访问受保护的资源。📝 **CWE**：数据中未提供具体 CWE ID，但属于典型的**水平权限绕过**或**不安全的直接对象引用**。
Q3影响谁？（版本/组件）
🎯 **受影响产品**：Wipro Holmes Orchestrator。📦 **特定版本**：**20.4.1** (构建号 20.4.1_02_11_2020)。其他版本未在数据中明确提及。
Q4黑客能干啥？（权限/数据）
💻 **黑客能力**：远程攻击者无需登录即可**下载任意 Excel 文件**。📂 **涉及数据**：包括 Domain Credential Report, User Report, Process Report, Infrastructure Report, Resolver Report 等敏感业务数据。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**极低**。🔓 **认证要求**：**无需身份验证**。只要知道 API 路径，即可直接访问，无需任何凭证或特殊配置。
Q6有现成Exp吗？（PoC/在野利用）
📜 **PoC 情况**：**有现成模板**。🔗 项目discovery nuclei 提供了检测模板 (`CVE-2021-38147.yaml`)。PacketStorm 也有相关披露，表明利用方式已公开。
Q7怎么自查？（特征/扫描）
🔍 **自查方法**：使用 Nuclei 扫描工具检测特定 API 路径。🧪 **关键路径**：`processexecution/DownloadExcelFile/...` 系列接口。若返回 Excel 文件而非 401/403 错误，则存在漏洞。
Q8官方修了吗？（补丁/缓解）
🏢 **官方修复**：数据中**未提及**官方补丁链接或修复版本。仅提供了厂商官网链接，建议联系 Wipro 获取最新安全更新。
Q9没补丁咋办？（临时规避）
🛡️ **临时规避**：🚫 **网络隔离**：在防火墙/WAF 上**阻断**对 `processexecution/DownloadExcelFile` 相关 API 的未授权访问。🔒 **访问控制**：确保这些 API 端点仅对内部可信 IP 或认证用户开放。
Q10急不急？（优先级建议）
⚡ **优先级**：**高**。🆘 **理由**：无需认证即可直接窃取敏感报告，利用成本极低，危害直接。建议立即实施网络层访问控制缓解。