CVE-2025-11158 — 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：未限制用户发布的PRPT报告中的Groovy脚本。 🔥 **后果**：攻击者可插入任意脚本，直接导致 **远程代码执行 (RCE)**。
Q2根本原因？（CWE/缺陷点）
🛡️ **CWE-862**：缺失必要的授权/限制。 🔍 **缺陷点**：系统未对用户上传的PRPT报告内的Groovy脚本进行有效校验或沙箱隔离。
Q3影响谁？（版本/组件）
📦 **厂商**：Hitachi Vantara。 📉 **产品**：Pentaho Data Integration & Analytics。 ⚠️ **版本**：10.2.0.6 之前版本（含 9.3.x 和 8.3.x）。
Q4黑客能干啥？（权限/数据）
💻 **权限**：获得服务器最高控制权。 📂 **数据**：可读取、篡改、删除所有数据，甚至控制整个基础设施。
Q5利用门槛高吗？（认证/配置）
🔑 **门槛**：中等。 📝 **条件**：需要 **PR:H** (Prerequisites: High)，即攻击者需具备 **认证用户权限** 才能上传恶意报告。
Q6有现成Exp吗？（PoC/在野利用）
🚫 **Exp**：数据中 **pocs** 为空，暂无公开现成Exp。 🌍 **在野**：无相关在野利用报告。
Q7怎么自查？（特征/扫描）
🔍 **自查**：检查是否运行受影响版本（<10.2.0.6）。 📋 **监控**：审计用户提交的PRPT报告，特别是包含Groovy脚本的部分。
Q8官方修了吗？（补丁/缓解）
🛠️ **补丁**：官方已发布修复说明。 ✅ **方案**：升级至 **10.2.0.6** 或更高版本以修复此漏洞。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1. 严格限制上传PRPT报告的用户权限。 2. 禁用或限制Groovy脚本引擎的使用。 3. 实施网络访问控制，仅允许可信IP访问管理界面。
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。 ⚡ **理由**：CVSS评分极高（9.8），虽需认证，但RCE后果致命。建议 **立即升级** 或实施严格缓解措施。