CVE-2024-51547
— 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：硬编码凭证导致的信任管理失效。
💥 **后果**：攻击者可完全控制设备，导致机密泄露、完整性破坏及服务中断。
Q2根本原因？（CWE/缺陷点）
🛡️ **CWE-798**：使用硬编码凭证。
🔍 **缺陷点**：产品内部使用了固定的、不可更改的默认凭据，而非动态或用户自定义凭据。
Q3影响谁？（版本/组件）
🏢 **厂商**：ABB（瑞士）。
📦 **受影响产品**：
- ABB ASPECT（建筑能源管理）
- ABB MATRIX（楼宇自动化控制器）
- ABB NEXUS（无线/有线解决方案）
Q4黑客能干啥？（权限/数据）
🔓 **权限**：获得**高权限**访问。
📊 **数据**：可读取敏感配置、用户数据及系统状态。
🎮 **控制**：可修改系统设置，甚至导致服务不可用。
Q5利用门槛高吗？（认证/配置）
⚡ **门槛极低**。
🌐 **网络**：远程利用 (AV:N)。
🔑 **认证**：无需认证 (PR:N)。
🧠 **交互**：无需用户交互 (UI:N)。
📈 **复杂度**：低 (AC:L)。
Q6有现成Exp吗？（PoC/在野利用）
🚫 **无现成Exp**。
📝 **状态**：公开数据中 **PoCs 为空**，暂无在野利用报告。
Q7怎么自查？（特征/扫描）
🔍 **自查方法**：
1. 检查设备是否使用**默认/硬编码账号密码**。
2. 扫描 ABB ASPECT/MATRIX/NEXUS 组件。
3. 验证登录凭证是否为厂商预设值。
Q8官方修了吗？（补丁/缓解）
📄 **官方行动**：已发布安全公告。
🔗 **参考**：
- 9AKK108471A0021
- 9AKK108470A6775 (Public Advisory)
💡 **建议**：查阅上述链接获取具体补丁或配置指南。
Q9没补丁咋办？（临时规避）
🛡️ **临时规避**：
1. **立即修改**默认凭证为强密码。
2. 若无法修改，实施**网络隔离**，限制访问源。
3. 启用**访问控制列表 (ACL)** 限制端口暴露。
Q10急不急？（优先级建议）
🔥 **优先级：极高**。
📉 **CVSS**：**9.8** (Critical)。
⚠️ **理由**：远程无需认证即可利用，影响范围涵盖机密性、完整性和可用性。建议**立即**整改。