CVE-2024-27107
— 神龙十问 AI 深度分析摘要
CVSS 9.6 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：GE医疗成像设备存在**信任管理问题**。
📉 **后果**：因**账户密码较弱**，导致系统安全性严重受损，攻击者可轻易突破防线。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-798（使用硬编码或默认凭证）。
🛠️ **缺陷点**：**弱密码**配置。系统允许使用过于简单或默认的凭据进行访问，缺乏足够的强度校验。
Q3影响谁？（版本/组件）
🏥 **厂商**：GE HealthCare（通用电气医疗）。
💻 **产品**：**EchoPAC Software Only**（仅限软件版本）。
📅 **发布时间**：2024-05-14。
Q4黑客能干啥？（权限/数据）
🔓 **权限**：CVSS评分极高（AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H），意味着**无需认证**即可利用。
💾 **数据**：可导致**机密性、完整性、可用性**全部丧失（C:H/I:H/A:H），攻击者可能完全控制设备。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**极低**。
📝 **条件**：攻击向量是**相邻**（AV:A），攻击复杂度**低**（AC:L），且**无需权限**（PR:N）和**无需用户交互**（UI:N）。只要在网络相邻位置即可尝试。
Q6有现成Exp吗？（PoC/在野利用）
📦 **Exp/PoC**：根据提供的数据，**暂无**公开的PoC或利用代码。
🌍 **在野利用**：数据中未提及在野利用情况，但鉴于CVSS满分潜力，需高度警惕。
Q7怎么自查？（特征/扫描）
🔎 **自查特征**：检查GE医疗成像设备（EchoPAC软件）的**账户配置**。
📋 **重点**：确认是否存在**弱密码**、**默认密码**或未强制修改初始凭证的情况。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：GE已发布安全更新。
🔗 **渠道**：请访问官方安全更新页面 [https://securityupdate.gehealthcare.com/](https://securityupdate.gehealthcare.com/) 获取补丁或指导。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：若暂无补丁，必须立即**修改账户密码**。
🔑 **措施**：强制使用**高强度密码**，禁用默认账户，实施严格的**访问控制策略**，限制网络相邻访问。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急**。
📊 **理由**：CVSS向量显示为**高危**（C:H/I:H/A:H），且利用条件极低（无需认证）。医疗设备关乎生命，建议**立即**评估并应用缓解措施。