CVE-2024-51551
— 神龙十问 AI 深度分析摘要
CVSS 10.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：ABB ASPECT 系统存在**默认凭据**漏洞。
💥 **后果**：攻击者可轻易获取系统控制权，导致**机密性、完整性、可用性**全面崩溃（CVSS 评分极高）。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-1287（未更改的默认凭据）。
📍 **缺陷点**：Linux 环境下的 ASPECT 组件使用了**出厂默认账号密码**，且未强制修改。
Q3影响谁？（版本/组件）
🏢 **厂商**：ABB（瑞士）。
📦 **产品**：ASPECT-Enterprise（建筑能源管理与控制解决方案）。
🖥️ **环境**：运行在 **Linux** 操作系统上。
Q4黑客能干啥？（权限/数据）
🔓 **权限**：获得**高权限**访问（CVSS S:C, C:H, I:H, A:H）。
📂 **数据**：可读取敏感配置、能源数据。
⚙️ **控制**：可篡改建筑能源控制逻辑，造成物理设施故障。
Q5利用门槛高吗？（认证/配置）
📉 **门槛**：**极低**。
🔑 **认证**：**无需认证**（PR:N）。
🌐 **网络**：**远程**可利用（AV:N）。
🎯 **复杂度**：**低**（AC:L），无需用户交互（UI:N）。
Q6有现成Exp吗？（PoC/在野利用）
📜 **Exp**：当前公开数据中 **无现成 PoC**（pocs 为空）。
🌍 **在野**：暂无明确在野利用报告，但利用逻辑简单，风险极高。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查 ASPECT 服务是否使用**默认账号**登录。
📡 **扫描**：检测 Linux 主机上 ASPECT 组件的**默认凭证配置**。
📄 **参考**：查阅 ABB 官方文档 [9AKK108469A7497](https://search.abb.com/library/Download.aspx?…
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：漏洞于 2024-12-05 发布，建议立即联系 ABB 获取**最新安全更新**。
📝 **缓解**：参考官方文档进行配置加固。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1. **立即修改**所有默认账户密码。
2. **禁用**不必要的默认账户。
3. 实施**网络隔离**，限制对 ASPECT 组件的访问。
4. 启用**强身份验证**机制。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急**。
⚠️ **理由**：CVSS 向量显示为**高危**（Critical），远程无需认证即可完全控制。建筑能源系统关乎物理安全，必须**立即修复**。