CVE-2023-34843
— 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：路径遍历漏洞（Directory Traversal）。
💥 **后果**：攻击者可通过精心构造的 GET 请求，读取服务器上的敏感文件（如 `/etc/passwd`），导致**信息泄露**。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：服务器未对用户输入的**文件路径**进行严格校验。
⚠️ **CWE**：数据中未提供具体 CWE ID，但属于典型的**输入验证缺失**问题。
Q3影响谁？（版本/组件）
📦 **受影响组件**：**Traggo Server**。
📌 **受影响版本**：**0.3.0** 版本。
🏷️ **产品属性**：基于标签的开源时间跟踪工具。
Q4黑客能干啥？（权限/数据）
👁️ **黑客能力**：
1. **读取任意文件**：通过 `..%5c` 序列跳出当前目录。
2. **敏感数据窃取**：成功获取 `/etc/passwd` 等系统文件内容。
3. **权限**：无需额外权限，仅需网络可达。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**极低**。
✅ **认证**：无需认证。
🔧 **配置**：只需发送一个特定的 HTTP GET 请求即可触发。
📝 **示例**：`GET /static/..%5c..%5c..%5c..%5cetc/passwd`。
Q6有现成Exp吗？（PoC/在野利用）
📂 **现成 Exp**：**有**。
🔗 **PoC 链接**：GitHub 上已有公开披露（`rootd4ddy/CVE-2023-34843`）。
🤖 **自动化**：Nuclei 模板已更新，支持自动化扫描检测。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. **特征匹配**：检查是否运行 Traggo Server 0.3.0。
2. **手动测试**：发送包含 `..%5c` 或 `../` 的 GET 请求至 `/static/` 路径。
3. **扫描工具**：使用 Nuclei 模板 `http/cves/2023/CVE-2023-34843.yaml` 进行批量扫描。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：数据中**未提供**官方补丁或缓解措施的具体信息。
⚠️ **注意**：仅提供了漏洞披露链接，未提及版本更新或配置修复指南。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1. **访问控制**：限制 `/static/` 路径的外部访问。
2. **WAF 规则**：拦截包含 `..%5c`、`..%2f` 等路径遍历特征的请求。
3. **升级**：尽快升级至非 0.3.0 的安全版本（若存在）。
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。
📉 **风险**：无需认证即可利用，且 PoC 公开，极易被自动化脚本扫描。
💡 **建议**：立即排查是否运行 0.3.0 版本，并实施网络层访问控制。