CVE-2024-0986
— 神龙十问 AI 深度分析摘要
CVSS 4.7 · Medium
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：操作系统命令注入 (OS Command Injection)。
💥 **后果**：攻击者可执行任意系统命令，导致**远程代码执行 (RCE)**，完全控制服务器。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-78 (OS命令注入)。
📍 **缺陷点**：`Asterisk-Cli` 组件中，参数 `Command` 的处理逻辑存在未知缺陷，未正确过滤用户输入。
Q3影响谁？（版本/组件）
🏢 **厂商**：Issabel。
📦 **产品**：PBX (4.0.0版本)。
⚙️ **组件**：Asterisk-Cli 模块。
Q4黑客能干啥？（权限/数据）
👮 **权限**：需**已认证用户** (Authenticated)。
📂 **数据**：可创建文件、执行命令，获取**最高系统权限**，窃取敏感通信数据。
Q5利用门槛高吗？（认证/配置）
🚧 **门槛**：中等。
✅ **要求**：需要**合法账号密码**登录。
🔓 **利用**：通过 `asterisk_cli` 控制台滥用 `xmldoc` 和 `dump` 命令，结合 `restore.php` 实现 RCE。
Q6有现成Exp吗？（PoC/在野利用）
💣 **Exp**：有。
📂 **PoC**：GitHub 上已有公开脚本 (`Issabel_PBX_Authenticated_RCE.py`)。
🌐 **在野**：VDB-252251 标记为已公开披露，可能被利用。
Q7怎么自查？（特征/扫描）
🔎 **扫描特征**：
1. 访问 `/index.php?menu=asterisk_cli`。
2. 检查 `Command` 参数是否可注入。
3. 使用 Nuclei 模板 (`CVE-2024-0986.yaml`) 进行自动化检测。
Q8官方修了吗？（补丁/缓解）
🛑 **补丁**：⚠️ **未回应**。
📝 **状态**：厂商早期被联系但**未回复**，暂无官方补丁或修复建议。
Q9没补丁咋办？（临时规避）
🛡️ **临时规避**：
1. **严格限制访问**：仅允许信任IP访问 PBX 管理界面。
2. **强身份验证**：确保后台账号密码极其复杂，防止撞库。
3. **网络隔离**：将 PBX 部署在内网，禁止直接暴露公网。
Q10急不急？（优先级建议）
🔥 **优先级**：🔴 **高 (Critical)**。
💡 **建议**：虽然需要认证，但 RCE 危害极大且 Exp 已公开。若无法立即隔离，应视为**紧急**风险处理，尽快实施网络层防护。