CVE-2024-11680 — 神龙十问 AI 深度分析摘要

🚨 **本质**：身份验证绕过 + CSRF 组合拳。 🔥 **后果**：攻击者可**未授权修改配置**，甚至通过上传恶意文件实现 **RCE（远程代码执行）**，服务器彻底沦陷。

🛡️ **CWE-306**：缺少身份验证。 🛡️ **CWE-287**：不当的身份验证处理。 🛡️ **CWE-352**：跨站请求伪造 (CSRF) 缺陷。 👉 **核心**：关键接口 `options.php` 未校验权限，且缺乏 CSRF Token 保护。

📦 **产品**：ProjectSend (cFTP)。 📉 **版本**：**r1720 之前**的所有版本（包括 r1605 及更早）。 💻 **技术栈**：PHP + MySQL 自托管文件共享应用。

👮 **权限提升**：无需登录即可操作。 📝 **具体操作**： 1. 开启**用户注册**和**自动审批**。 2. 修改**允许上传的文件扩展名白名单**。 3. 创建新管理员账户。 4. 最终通过上传 **PHP 文件**实现 **任意代码执行**。

📉 **门槛极低**。 🔓 **认证**：**无需身份验证** (PR:N)。 🖱️ **交互**：**无需用户界面** (UI:N)。 🌐 **网络**：**远程网络攻击** (AV:N)。 ⚡ **复杂度**：**低** (AC:L)。 📊 **CVSS 评分**：**9.8 (Critical)**。

💣 **有现成 Exp**。 🔍 **PoC 来源**：GitHub 上已有多个 PoC 仓库（如 `famixcm`, `D3N14LD15K`）。 🛠️ **工具支持**： - **Nuclei** 模板已更新。 - **Metasploit** 模块已存在 (`projectsend_unauth_rce.rb`)。 ⚠️ **注意**：部分描述称“仅限私有”，但实际公开 PoC 和 MSF 模块已可用。

🔍 **自查方法**： 1. **扫描**：使用 Nuclei 模板 `http/cves/2024/CVE-2024-11680.yaml`。 2. **检测点**：向 `/options.php` 发送 POST 请求，观察是否返回配置修改成功或无权限错误。 3. **监控**：检查是否有非管理员用户被自动创建或上传目录出现 `.php` 文件。

🔧 **官方已修复**。 📅 **发布时间**：2024-11-26。 🔗 **补丁链接**：GitHub Commit `193367d937b1a59ed5b68dd4e60bd53317473744`。 ✅ **建议**：立即升级至 **r1720 或更高版本**。

🚫 **临时规避**： 1. **WAF 防护**：拦截对 `/options.php` 的 POST 请求。 2. **访问控制**：限制后台管理页面 IP 访问。 3. **上传限制**：在 Web 服务器层（Nginx/Apache）禁止上传目录执行 PHP 脚本。 4. **CSRF 防护**：若无法升级，手动在 `options.php` 添加 CSRF Token 校验（需开发介入）。

🚨 **优先级：极高 (P0)**。 ⚡ **紧急程度**：**立即行动**。 💡 **理由**：CVSS 9.8，无需认证，已有成熟 Exploit 和 MSF 模块，可直接导致服务器被控。不要等待，马上升级或加固。