CVE-2023-51389
— 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Hertzbeat 存在 **YAML 反序列化漏洞**。
💥 **后果**：攻击者可利用 `/define/yml` 接口，通过恶意构造的 YAML 内容执行任意代码，导致系统被完全控制。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-502 (反序列化数据不可信)。
📍 **缺陷点**：使用 **SnakeYAML** 解析器处理 `/define/yml` 接口输入，但**未配置安全白名单/黑名单**，导致不安全反序列化。
Q3影响谁？（版本/组件）
🎯 **受影响产品**：dromara 组织的 **Hertzbeat** 开源监控系统。
📉 **受影响版本**：**1.4.1 之前**的所有版本。
Q4黑客能干啥？（权限/数据）
👮 **权限**：攻击者可获得 **高权限**（CVSS A:H）。
📂 **数据**：可完全读取、修改或删除系统数据（CVSS C:H, I:H）。
💻 **能力**：实现 **远程代码执行 (RCE)**，接管服务器。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**极低**。
🔑 **认证**：无需认证 (PR:N)。
🌐 **网络**：网络可达即可 (AV:N)。
🧠 **复杂度**：低复杂度 (AC:L)。
👤 **用户交互**：无需用户交互 (UI:N)。
Q6有现成Exp吗？（PoC/在野利用）
📦 **Exp/PoC**：漏洞数据中 **pocs 列表为空**，暂无公开现成 PoC。
🌍 **在野利用**：数据未提及在野利用情况，但鉴于 CVSS 评分极高，需高度警惕。
Q7怎么自查？（特征/扫描）
🔎 **自查特征**：检查是否运行 Hertzbeat 且版本 **< 1.4.1**。
📡 **扫描点**：重点监测对 `/define/yml` 接口的异常 POST 请求，特别是包含恶意 YAML 结构的流量。
Q8官方修了吗？（补丁/缓解）
🛠️ **官方修复**：已修复。
📝 **补丁链接**：[GitHub Commit](https://github.com/dromara/hertzbeat/commit/97c3f14446d1c96d1fc993df111684926b6cce17)。…
Q9没补丁咋办？（临时规避）
🛡️ **临时规避**：若无法立即升级，建议**限制 `/define/yml` 接口的访问权限**（如仅内网或特定 IP）。
🚫 **输入过滤**：在 WAF 或网关层拦截包含危险 YAML 标签的请求。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急 (Critical)**。
📊 **CVSS**：9.8 (极高)。
💡 **建议**：立即升级至 **1.4.1 或更高版本**，该漏洞允许无认证远程代码执行，风险极大。