CVE-2024-49375 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Rasa 框架存在远程代码执行（RCE）漏洞。 💥 **后果**：攻击者可完全控制受影响的服务，导致系统沦陷。

🔍 **CWE-94**：代码注入缺陷。 ⚠️ **缺陷点**：未正确处理用户输入，导致恶意代码被服务器执行。

🏢 **厂商**：RasaHQ。 📦 **产品**：rasa-pro-security-advisories。 🤖 **组件**：Rasa 开源机器学习对话框架。

👑 **权限**：远程执行代码（RCE），通常获得最高权限。 📂 **数据**：可窃取敏感对话数据、模型配置及服务器文件。

🚫 **认证**：无需认证（PR:N）。 🌐 **网络**：远程利用（AV:N）。 🧩 **复杂度**：较高（AC:H），需特定条件触发。

🚫 **PoC**：当前无公开利用代码（PoCs: []）。 🌍 **在野**：暂无在野利用报告。

🔍 **自查**：检查是否运行 Rasa 框架。 📡 **扫描**：监测针对 Rasa 接口的异常代码注入请求。

🛡️ **官方**：已发布安全公告（2025-01-14）。 🔧 **修复**：请查阅 GitHub 安全公告链接获取补丁。

⏸️ **规避**：暂时限制 Rasa 服务暴露面。 🚧 **缓解**：严格过滤输入，禁用不必要的功能，直至补丁可用。

⚡ **优先级**：高（CVSS 分数高，S:C/C:H/I:H/A:H）。 📢 **建议**：虽利用门槛高，但后果严重，建议立即评估并升级。