CVE-2024-57968 — 神龙十问 AI 深度分析摘要

🚨 **本质**：文件上传路径控制失效。 💥 **后果**：攻击者可上传恶意文件到**非预期文件夹**，导致系统被完全控制（高机密性/完整性/可用性损失）。

🔍 **CWE-434**：无限制的文件上传。 📍 **缺陷点**：未严格校验上传文件的**目标路径**，允许写入敏感或可执行目录。

🏢 **厂商**：Advantive。 📦 **产品**：VeraCore (SaaS 订单/仓库管理)。 ⚠️ **版本**：**2024.4.2.1 之前**的所有版本。

🔑 **权限**：远程经过身份验证的用户。 💾 **数据**：可上传 Webshell 或恶意脚本，实现**远程代码执行 (RCE)**，窃取数据或破坏业务。

📉 **门槛低**。 ✅ **前提**：只需**合法账号**（PR:L）。 🌐 **网络**：远程可访问 (AV:N)。 👀 **交互**：无需用户点击 (UI:N)。

🕵️ **在野利用**：有报道指出 **Xe Group** 等黑客组织正在利用此类零日漏洞。 📜 **PoC**：数据中未提供公开 PoC，但威胁情报显示已被实战利用。

🔎 **自查**：检查 VeraCore 版本是否 < 2024.4.2.1。 🛡️ **监控**：审计文件上传接口，监测是否有文件被写入**非标准目录**（如 bin, lib, config 等）。

✅ **已修复**。 📅 **时间**：2025-02-03 发布。 🔧 **方案**：升级至 **VeraCore 2024.4.2.1** 或更高版本。

🚧 **临时规避**： 1. 限制上传目录的**执行权限**。 2. 对上传文件进行**重命名**和**类型白名单**校验。 3. 隔离上传路径，禁止访问系统关键目录。

🔥 **优先级：高**。 ⚡ **CVSS 评分**：高危 (H)。 💡 **建议**：立即升级补丁！鉴于 Xe Group 等组织活跃，**在野利用风险极大**，切勿拖延。