CVE-2025-26389 — 神龙十问 AI 深度分析摘要

🚨 **本质**：操作系统命令注入（OS Command Injection）。 💥 **后果**：攻击者可执行**任意代码**，彻底控制设备。

🔍 **CWE**：CWE-78。 📍 **缺陷点**：`exportDiagramPage` 端点的**输入参数清理不足**，未过滤恶意指令。

🏢 **厂商**：Siemens（西门子）。 📦 **产品**：OZW672 楼宇控制器。 📉 **版本**：**V8.0 之前**的所有版本。

👑 **权限**：获得**系统级**执行权限。 📊 **数据**：可完全读取、修改、删除数据，甚至横向移动攻击内网。

📶 **网络**：AV:N（网络可攻击）。 🔑 **认证**：PR:N（无需认证）。 🎯 **结论**：门槛极低，远程匿名即可利用。

🧪 **PoC**：数据中 `pocs` 为空，暂无公开代码。 🌍 **在野**：暂无在野利用报告（截至发布日）。

🔎 **扫描**：检测 HTTP 请求中 `exportDiagramPage` 参数。 📝 **特征**：尝试注入 Shell 命令（如 `; ls` 或 `| cat`）看是否回显。

🛡️ **官方**：Siemens 已发布安全公告（SSA-047424）。 💊 **修复**：需升级至 **V8.0 或更高版本**。

🚧 **临时**：若无补丁，建议**限制网络访问**，仅允许可信 IP 访问该端点。 🔒 **WAF**：配置规则拦截包含特殊字符的 `exportDiagramPage` 参数。

🔥 **优先级**：**极高**（CVSS 9.8 分）。 ⚡ **建议**：立即排查受影响设备，**优先升级**或实施网络隔离。