CVE-2024-8504 — 神龙十问 AI 深度分析摘要

🚨 **本质**：SQL注入导致远程代码执行 (RCE)。 💥 **后果**：攻击者可获取 **root** 权限，完全控制服务器。

🔍 **CWE-78**：命令注入缺陷。 📉 **根源**：未过滤的用户输入直接拼接至数据库查询，进而触发系统命令执行。

🏢 **厂商**：VICIdial。 📦 **产品**：VICIdial 套件（基于 Asterisk 的联络中心系统）。

👑 **权限**：以 **root** 身份执行任意 Shell 命令。 📂 **数据**：可窃取管理员凭据及所有数据库信息。

🚪 **门槛低**：无需认证（Unauthenticated）。 🎯 **入口**：通过 SQL 注入点直接发起攻击。

💣 **有现成 Exp**：GitHub 上已有组合利用工具。 🔗 **链接**：CVE-2024-8503 (SQLi) + CVE-2024-8504 (RCE) 联动利用。

🔎 **扫描特征**：检测 VICIdial 接口中的 SQL 注入 payload。 🛠 **工具**：使用自动化扫描器或专用 PoC 脚本验证。

🛡️ **官方建议**：参考 KoreLogic 安全公告。 📝 **状态**：需升级至修复版本或应用官方缓解措施。

⚠️ **临时规避**：限制网络访问，仅允许可信 IP 连接。 🚫 **防御**：部署 WAF 拦截恶意 SQL 注入请求。

🔥 **优先级：极高**。 ⚡️ **理由**：无需认证即可 RCE，危害极大，建议立即修复。