CVE-2024-36410
— 神龙十问 AI 深度分析摘要
CVSS 9.6 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：SuiteCRM 的 EmailUIAjax 消息计数控制器存在 **SQL 注入** 漏洞。
💥 **后果**：攻击者可窃取、篡改或删除数据库中的敏感数据，甚至可能获取服务器控制权。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-89 (SQL 注入)。
📍 **缺陷点**：**输入验证不正确**。系统未对用户输入进行充分过滤或参数化处理，导致恶意 SQL 代码被执行。
Q3影响谁？（版本/组件）
🏢 **厂商**：SalesAgility。
📦 **产品**：**SuiteCRM**。
📌 **组件**：EmailUIAjax 消息计数控制器。
Q4黑客能干啥？（权限/数据）
👮 **权限**：需要 **低权限** (PR:L) 即可利用。
📊 **数据**：对完整性 (I:H) 和可用性 (A:H) 造成高影响，可完全控制数据库内容。
🌐 **范围**：影响范围扩大 (S:C)，可能波及关联系统。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**低**。
✅ **认证**：需要 **低权限认证** (PR:L)。
🖱️ **交互**：**无需用户交互** (UI:N)。
🌍 **网络**：**网络远程** (AV:N)。
⚡ **复杂度**：**低** (AC:L)。
Q6有现成Exp吗？（PoC/在野利用）
📜 **PoC**：数据中未提供现成 PoC (pocs: [])。
🌍 **在野**：暂无在野利用报告。
🔗 **参考**：详见 GitHub 安全公告 [GHSA-7jj8-m2wj-m6xq](https://github.com/salesagility/SuiteCRM/security/advisories/GHSA-7jj8-m2wj-m6xq)。
Q7怎么自查？（特征/扫描）
🔎 **自查特征**：检查请求是否指向 **EmailUIAjax** 相关接口。
📡 **扫描**：使用 SQL 注入扫描器针对 SuiteCRM 实例进行探测。
📝 **日志**：监控数据库日志中异常的 SQL 查询模式。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：已发布安全公告 (2024-06-10)。
🔧 **建议**：立即升级至 **最新安全版本** 或应用官方提供的补丁。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1. **限制访问**：仅允许可信 IP 访问 SuiteCRM。
2. **WAF 规则**：部署 Web 应用防火墙，拦截包含 SQL 关键字的异常请求。
3. **最小权限**：确保数据库账户权限最小化。
Q10急不急？（优先级建议）
⚠️ **优先级**：**高**。
📉 **CVSS**：3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H。
💡 **建议**：虽然需要认证，但利用简单且危害极大（I:H/A:H），建议 **立即修复** 以防止数据泄露或服务中断。