CVE-2024-37084
— 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：路径验证缺失 + 不安全反序列化。
💥 **后果**：任意文件写入 → **远程代码执行 (RCE)**。
⚠️ 服务器可能被完全接管，数据泄露或中断。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：Skipper 服务器处理文件上传时，**缺乏对路径的有效验证**。
📉 **CWE**：数据中未提供具体 CWE ID，但属于典型的**路径遍历/任意文件写入**漏洞。
Q3影响谁？（版本/组件）
🏢 **厂商**：VMware (Spring)。
📦 **产品**：Spring Cloud Data Flow。
📅 **版本**：**2.11.0** 至 **2.11.3** 版本受影响。
Q4黑客能干啥？（权限/数据）
👑 **权限**：获取服务器**最高权限**。
💾 **数据**：可窃取敏感数据，或执行任意系统命令。
💣 **影响**：服务器被控，服务中断，数据泄露。
Q5利用门槛高吗？（认证/配置）
🔑 **门槛**：**低**。
✅ **认证**：需有权访问 **Skipper 服务器 API**。
🌐 **网络**：网络攻击向量 (AV:N)，无需用户交互 (UI:N)。
Q6有现成Exp吗？（PoC/在野利用）
🔥 **Exp**：**有现成 PoC/Exp**。
📂 GitHub 上已有多个利用工具（如 `CVE-2024-37084-Poc.py`）。
🛠️ 支持 DNSLog 检测及直接执行系统命令。
Q7怎么自查？（特征/扫描）
🔎 **自查**：
1. 检查版本是否为 **2.11.0-2.11.3**。
2. 使用提供的 Python PoC 脚本进行探测。
3. 监控 API 上传接口的异常 YAML/JAR 包上传行为。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：**已修复**。
📌 **版本**：官方已在 **2.11.4** 版本中修复。
👉 建议立即升级至 2.11.4 或更高版本。
Q9没补丁咋办？（临时规避）
⏳ **临时规避**：
1. **升级**是最优解。
2. 若无法升级，限制 Skipper API 的**外部访问**。
3. 配置 WAF 拦截异常的 YAML/JAR 上传请求。
4. 严格限制 API 访问权限。
Q10急不急？（优先级建议）
🚨 **优先级**：**极高 (Critical)**。
⚡ CVSS 评分 **9.8** (高危)。
🏃 **行动**：立即排查受影响版本，尽快升级补丁，防止 RCE 发生。