CVE-2022-24716 — 神龙十问 AI 深度分析摘要
CVSS 7.5 · High
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Icinga Web 2 存在**路径遍历漏洞** (Path Traversal)。 💥 **后果**：未认证用户可**泄露本地系统文件**内容，包括含数据库凭据的配置文件，导致敏感信息彻底暴露。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-22 (路径遍历)。 🔧 **缺陷点**：输入验证缺失，允许攻击者通过构造特殊路径访问 Web 服务器用户权限范围内的任意文件。
Q3影响谁？（版本/组件）
📦 **组件**：Icinga Web 2。 📉 **受影响版本**：< 2.8.6, < 2.9.6, < 2.10。 ✅ **安全版本**：2.9.6 及 2.10 及以上。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**： 1. **读取任意文件**：如 /etc/passwd。 2. **窃取凭据**：获取 icingaweb2 配置文件中的**数据库密码**。 3. **横向移动**：利用数据库凭据进一步渗透内网。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛极低**。 🔓 **无需认证**：Unauthenticated（未授权）即可利用。 ⚙️ **无需特殊配置**：只要服务运行且版本老旧，直接可打。
Q6有现成Exp吗？（PoC/在野利用）
💻 **有现成 Exp**。 📂 **PoC 丰富**：GitHub 上有多个 Python/Go 版本的利用脚本（如 JacobEbben, joaoviictorti 等仓库）。 🌍 **在野利用**：虽无明确大规模爆发报道，但工具公开，风险极高。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**： 1. **版本检查**：确认 Icinga Web 2 版本是否低于 2.9.6。 2. **扫描测试**：使用提供的 PoC 脚本尝试读取 /etc/passwd 或配置文件。 3. **日志审计**：监控异常的文件读取请求。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方已修复**。 📅 **时间**：2022-03-08 发布。 🔧 **补丁**：升级至 **2.9.6** 或 **2.10** 版本即可修复。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1. **立即升级**：首选方案。 2. **网络隔离**：限制 Icinga Web 2 对公网访问。 3. **轮换凭据**：若已泄露，必须**立即更改数据库密码**和配置文件密钥。
Q10急不急？（优先级建议）
⚡ **优先级：高 (Critical)**。 📢 **建议**：CVSS 评分高 (C:H)，且**无需认证**，极易被自动化扫描利用。建议**立即升级**并检查数据库凭据是否泄露。