CVE-2024-50603 — 神龙十问 AI 深度分析摘要

🚨 **本质**：操作系统命令注入 (OS Command Injection)。 💥 **后果**：攻击者无需认证即可在目标服务器上执行**任意代码**，完全接管系统。

🔍 **CWE**：CWE-78 (OS命令注入)。 🐛 **缺陷**：对操作系统命令中使用的**特殊元素**（如Shell元字符）未进行正确的中和/过滤。

🏢 **厂商**：Aviatrix。 📦 **产品**：Aviatrix Controller。 📅 **版本**： - 7.1.x 版本 < **7.1.4191** - 7.2.x 版本 < **7.2.4996**

👑 **权限**：未认证攻击者。 📂 **数据**：可执行任意系统命令，导致**机密性、完整性、可用性**全部丧失 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)。

🚪 **门槛**：**极低**。 🔑 **认证**：**无需认证** (Unauthenticated)。 🌐 **网络**：网络可达即可利用 (AV:N)。

🧪 **Exp/PoC**：**已有现成工具**。 - GitHub 上有 Nuclei 模板。 - 有专门的 Python 利用工具 (cvehunter.py)。 - 支持异步性能检测。

🔎 **自查特征**： - 接口：`/v1/api` - 参数：`cloud_type` (list_flightpath_destination_instances) 或 `src_cloud_type` (flightpath_connection_test)。 - 工具：使用 Nuclei 模板或 CVEHunter 扫描。

🛡️ **补丁**：官方已发布安全公告。 ✅ **修复方案**：升级至 **7.1.4191** 或 **7.2.4996** 及以上版本。

⚠️ **临时规避**： - 若无法立即升级，应限制对 Controller 的**网络访问**。 - 在防火墙/WAF 层拦截包含 Shell 元字符的 API 请求。 - 禁用不必要的 API 端点。

🔥 **优先级**：**极高 (Critical)**。 💡 **建议**：由于是**未认证远程代码执行**，且已有公开 PoC，建议**立即**评估受影响版本并安排紧急补丁或隔离措施。