CVE-2024-29726
— 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：SportsNET 4.0.1 存在 **SQL注入** 漏洞。
📍 **位置**：`/app/ax/setAsRead/` 页面的 `id` 参数。
💥 **后果**：攻击者可 **检索、更新、删除** 数据库所有信息，数据完整性彻底丧失。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-89 (SQL注入)。
🛠️ **缺陷**：后端未对 `id` 参数进行严格的 **输入验证** 或 **参数化查询** 处理，导致恶意 SQL 代码被执行。
Q3影响谁？（版本/组件）
🎯 **厂商**：SportsNET。
📦 **产品**：SportsNET 体育赛事网应用程序。
⚠️ **版本**：明确影响 **4.0.1** 版本。
Q4黑客能干啥？（权限/数据）
👮 **权限**：无需认证 (PR:N)。
📊 **数据**：高机密性 (C:H)、高完整性 (I:H)、高可用性 (A:H)。
💣 **能力**：可 **全库读取**、**篡改数据**、**删除记录**，甚至可能进一步渗透服务器。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：极低。
🔑 **认证**：无需登录 (PR:N)。
🖱️ **交互**：无需用户界面交互 (UI:N)。
🌐 **网络**：网络可访问即可利用 (AV:N)。
📉 **复杂度**：低 (AC:L)。
Q6有现成Exp吗？（PoC/在野利用）
📄 **PoC**：当前数据中 **无** 公开 PoC 代码。
🔥 **在野**：暂无在野利用报告。
⚠️ **注意**：虽无现成脚本，但 SQL 注入利用技术成熟，**极易** 被自动化攻击工具利用。
Q7怎么自查？（特征/扫描）
🔎 **扫描特征**：监测对 `/app/ax/setAsRead/` 接口的请求。
🧪 **测试方法**：在 `id` 参数注入 SQL 关键字（如 `' OR 1=1--`）或时间延迟函数，观察响应变化或数据库报错。
📡 **WAF规则**：拦截包含 SQL 注入特征的 `id` 参数请求。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：数据中 **未提供** 官方补丁链接或修复版本信息。
📝 **参考**：建议查阅 Incibe 官方通知 (references) 获取最新修复状态。
🔄 **行动**：需联系厂商确认是否已发布修复版本。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1. **WAF拦截**：在 Web 应用防火墙中针对 `/app/ax/setAsRead/` 的 `id` 参数部署 SQL 注入防护规则。
2. **输入过滤**：若可修改代码，强制 `id` 为 **整数类型**。
3. **最小权限**：确保数据库账户仅拥有必要权限，禁止 `DROP` 或 `DELETE` 等高危操作。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急 (Critical)**。
📈 **CVSS**：9.1 (高危)。
⚡ **理由**：无需认证、远程利用、影响范围覆盖机密性/完整性/可用性。
🚀 **建议**：立即隔离受影响服务，优先实施 WAF 规则缓解，并紧急联系厂商获取补丁。