CVE-2025-1041 — 神龙十问 AI 深度分析摘要
CVSS 9.9 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：输入验证不当。 💥 **后果**：攻击者可执行**未授权远程命令**。 ⚠️ **核心**：Web请求被恶意构造，导致系统失控。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-20（输入验证不当）。 📍 **缺陷点**：对Web请求的**输入校验缺失**或**逻辑错误**。 🛡️ **根源**：未过滤特制Payload，直接交由后端执行。
Q3影响谁？（版本/组件）
🏢 **厂商**：Avaya（亚美亚）。 📦 **产品**：Call Management System（呼叫管理系统）。 📉 **受影响版本**： - 18.x 全系列 - 19.x（< 19.2.0.7） - 20.x（< 20.0.1.0）
Q4黑客能干啥？（权限/数据）
👑 **权限**：可执行**远程命令**（RCE）。 📊 **数据**：CVSS评分极高（H/H/H），意味着**机密性、完整性、可用性**全崩。 💣 **能力**：可能获取服务器控制权，窃取分析/报告数据。
Q5利用门槛高吗？（认证/配置）
🔑 **认证**：需要 **PR:L**（低权限认证）。 🌐 **网络**：AV:N（网络可访问）。 👀 **交互**：UI:N（无需用户交互）。 📉 **难度**：中等（需合法账号，但利用简单）。
Q6有现成Exp吗？（PoC/在野利用）
🧪 **PoC**：数据中 **pocs 为空**，暂无公开代码。 🌍 **在野**：未提及在野利用。 ⚠️ **风险**：虽无代码，但CVSS高+利用简单，**高危漏洞**，Exp可能随时流出。
Q7怎么自查？（特征/扫描）
🔎 **扫描特征**：检测针对CMS的**特制Web请求**。 📋 **资产梳理**：确认是否运行 **18.x/19.x(<19.2.0.7)/20.x(<20.0.1.0)**。 🛡️ **日志监控**：关注异常命令执行日志或Web访问异常。
Q8官方修了吗？（补丁/缓解）
🩹 **补丁**：官方已发布修复建议。 📖 **参考**：Avaya支持文档 [101093084](https://support.avaya.com/css/public/documents/101093084)。 ✅ **行动**：升级至 **19.2.0.7+** 或 **20.0.1.0+**。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1. **最小化权限**：确保CMS账号权限最低（PR:L要求）。 2. **网络隔离**：限制对CMS Web接口的访问来源。 3. **WAF规则**：拦截可疑的命令注入Payload。
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。 📈 **理由**：CVSS向量显示**严重危害**（C:H/I:H/A:H），且利用条件低（AC:L/UI:N）。 🏃 **建议**：尽快升级版本或实施网络隔离，避免服务器沦陷。