CVE-2025-14706 — 神龙十问 AI 深度分析摘要

🚨 **本质**：命令注入漏洞 (CWE-77)。 💥 **后果**：攻击者可执行任意系统命令，完全控制设备。

🔍 **缺陷点**：`/usr/sbin/http_eshell_server` 文件。 ⚠️ **原因**：参数 `params` 处理不当，未过滤直接拼接执行。

📦 **产品**：SGWBox N3 网络存储设备。 🏢 **厂商**：中国拾光坞 (Shiguangwu)。 📌 **版本**：V2.0.25。

👑 **权限**：最高权限 (CVSS A:H)。 📂 **数据**：完全泄露 (C:H) 和篡改 (I:H)。 🛠️ **能力**：可执行任意 Shell 命令。

📶 **攻击面**：网络远程 (AV:N)。 🔓 **认证**：无需认证 (PR:N)。 🎯 **难度**：低 (AC:L)。 👤 **交互**：无需用户交互 (UI:N)。

📜 **参考**：VDB 提交 #706975 及 Notion 链接标记为 exploit。 🚫 **PoC**：数据中未提供具体代码，但存在利用指示。

🔎 **特征**：检测对 `http_eshell_server` 的异常参数调用。 📡 **扫描**：针对 SGWBox N3 V2.0.25 进行指纹识别。

🛡️ **状态**：数据未提及官方补丁。 📅 **披露**：2025-12-15 发布。 ⏳ **建议**：需联系厂商获取更新。

🚧 **规避**：限制设备网络访问。 🔒 **隔离**：置于隔离 VLAN，禁止公网暴露。 👀 **监控**：审计 `http_eshell_server` 日志。

🔥 **优先级**：极高 (CVSS 10.0)。 ⚡ **行动**：立即隔离设备，尽快升级或打补丁。