CVE-2025-24024 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Mjolnir 机器人权限控制失效。 🔥 **后果**：非操作员用户可滥用机器人功能，破坏房间秩序或执行未授权操作。

🛡️ **CWE-671**：缺乏必要的控制机制。 🔍 **缺陷点**：机器人错误地对**任何房间**中的管理命令做出响应，未严格校验调用者权限。

📦 **组件**：Matrix 开源审核工具 **Mjolnir**。 ⚠️ **版本**：**v1.9.0** 及之前版本受影响。

👮 **权限**：非操作员（Non-operator）用户。 💥 **行为**：利用机器人执行管理命令，可能导致**信息泄露**或**服务中断**（CVSS I:H, A:H）。

🚪 **门槛**：**极低**。 🔑 **条件**：无需认证（PR:N），无需用户交互（UI:N），网络远程利用（AV:N）。

💣 **Exp**：暂无公开 PoC 或**在野利用**报告。 📝 **状态**：漏洞细节已披露，但攻击代码尚未广泛传播。

🔍 **自查**：检查 Mjolnir 部署版本是否为 **v1.9.0**。 👀 **观察**：监控非操作员用户是否能在任意房间触发机器人管理指令。

🔧 **修复**：**已修复**。 📌 **补丁**：参考 GitHub 提交记录 `d0ef527` 和 `b437fa16`，请升级至最新版本。

🛡️ **规避**：若无法立即升级，需严格配置**操作员权限列表**。 🚫 **限制**：确保只有授权用户能向机器人发送管理命令，隔离敏感房间。

⚡ **优先级**：**高**。 📉 **风险**：CVSS 评分高（I:H, A:H），利用简单，建议**立即升级**以消除风险。