CVE-2024-10443
— 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Synology BeePhotos 存在**命令注入漏洞**。任务管理器组件未正确处理特殊元素，导致恶意输入被当作系统命令执行。后果：攻击者可远程执行**任意代码**，完全控制受影响的服务。
Q2根本原因？（CWE/缺陷点）
🔍 **根本原因**：**CWE-78**（命令注入）。缺陷点在于**任务管理器组件**中，对输入数据的**特殊元素中和不当**，未过滤危险字符，直接拼接至系统命令中。
Q3影响谁？（版本/组件）
🛡️ **影响范围**：
- **BeePhotos**：版本 **< 1.0.2-10026** 及 **< 1.1.0-10053**。
- **Synology Photos**：版本 **< 1.6.2-0720** 及 **< 1.7.0-0795**。
*注：仅影响中国群晖科技相关版本。*
Q4黑客能干啥？（权限/数据）
💀 **黑客能力**：
- **权限**：获得**最高权限**（System/Root），因为漏洞允许执行任意代码。
- **数据**：可读取、修改、删除所有照片及NAS数据。
- **横向**：以NAS为跳板，攻击内网其他设备。
Q5利用门槛高吗？（认证/配置）
⚡ **利用门槛**：**极低**。
- **网络**：远程利用（AV:N）。
- **复杂度**：低（AC:L）。
- **认证**：**无需认证**（PR:N）。
- **交互**：无需用户交互（UI:N）。
Q6有现成Exp吗？（PoC/在野利用）
📦 **现成Exp**：**有**。
- **PoC**：ProjectDiscovery Nuclei 模板已发布（CVE-2024-10443.yaml）。
- **在野**：基于 PWN2OWN 2024 披露，需关注实际利用情况。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. **版本检查**：登录 DSM，查看 BeePhotos 或 Synology Photos 版本号。
2. **扫描**：使用支持 CVE-2024-10443 的 Nuclei 模板进行扫描。
3. **日志**：检查 Web 访问日志中是否有异常的命令注入特征（如 `;`, `|`, `&&` 等）。
Q8官方修了吗？（补丁/缓解）
✅ **官方修复**：**已修复**。
- 参考公告：**Synology-SA-24:18** (BeePhotos) 和 **Synology-SA-24:19** (Synology Photos)。
- 请升级至指定安全版本。
Q9没补丁咋办？（临时规避）
🛑 **临时规避**：
1. **立即升级**至最新安全版本。
2. 若无法升级，**禁用** BeePhotos/Synology Photos 服务。
3. 配置防火墙，**限制**对 5000/5001 等端口的公网访问。
4. 启用**双因素认证**（虽不能防注入，但增加攻击成本）。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急 (Critical)**。
- **CVSS**：9.8 (Critical)。
- **理由**：远程、无认证、高影响。建议**立即**修补，尤其是暴露在公网的 NAS 用户。