CVE-2025-26339
— 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Q-Free MAXTIME Suite 存在**访问控制错误**。
📉 **后果**：攻击者可未经认证直接访问关键功能，严重威胁设备的**机密性、完整性和可用性**。
💥 **核心**：关键接口 `maxtime/handleRoute.lua` **缺少身份验证机制**。
Q2根本原因？（CWE/缺陷点）
🛡️ **CWE ID**：**CWE-306**（缺少身份验证）。
🔍 **缺陷点**：在 `maxtime/handleRoute.lua` 脚本中，关键路由处理逻辑**未实施任何身份检查**。
⚠️ **根源**：开发时遗漏了权限校验逻辑。
Q3影响谁？（版本/组件）
🏢 **厂商**：**Q-Free**。
📦 **产品**：**MaxTime** (MAXTIME Suite)。
📅 **版本**：**2.11.0 及之前版本**。
🚗 **场景**：用于**本地交通信号管理**的系统。
Q4黑客能干啥？（权限/数据）
🔓 **权限**：无需登录即可执行关键操作。
💾 **数据**：可读取或篡改交通信号配置（**机密性/完整性受损**）。
⚡ **影响**：可能导致交通系统瘫痪或误操作（**可用性受损**）。
Q5利用门槛高吗？（认证/配置）
📉 **门槛**：**极低**。
🔑 **认证**：**无需认证** (PR:N)。
🌐 **网络**：**网络可访问** (AV:N)。
🎯 **复杂度**：**低** (AC:L)，无需用户交互 (UI:N)。
Q6有现成Exp吗？（PoC/在野利用）
📜 **PoC**：数据中 **无** 公开 PoC 代码。
🌍 **在野**：暂无在野利用报告。
🔗 **参考**：Nozomi Networks 已发布安全 advisory，建议关注后续动态。
Q7怎么自查？（特征/扫描）
🔍 **扫描特征**：检测对 `/maxtime/handleRoute` 的 HTTP 请求。
✅ **验证**：发送特制请求，若返回成功响应且**无 401/403 错误**，则存在漏洞。
📡 **工具**：使用 Web 漏洞扫描器或自定义脚本探测该 Lua 接口。
Q8官方修了吗？（补丁/缓解）
🛠️ **补丁**：数据中**未提供**具体补丁链接或版本号。
📢 **状态**：厂商已确认漏洞存在（2025-02-12 发布）。
⏳ **建议**：立即联系 Q-Free 获取官方修复方案。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1️⃣ **网络隔离**：将该系统置于**内网隔离区**，禁止公网访问。
2️⃣ **防火墙**：在防火墙层面**阻断**对 `maxtime/handleRoute` 路径的访问。
3️⃣ **WAF**：配置 WAF 规则拦截对该接口的未授权请求。
Q10急不急？（优先级建议）
🔥 **优先级**：**极高**。
📊 **CVSS**：**9.8** (Critical)。
⚡ **理由**：远程、无需认证、高影响。交通系统关乎公共安全，一旦失控后果严重。
🚀 **行动**：立即隔离并寻求补丁。