CVE-2025-2775 — 神龙十问 AI 深度分析摘要

🚨 **本质**：SysAid On-Prem 的 Checkin 处理功能存在 **未验证的 XML 外部实体 (XXE)** 漏洞。 💥 **后果**：攻击者可实现 **管理员账户接管** 及 **任意文件读取**，甚至可能进一步导致远程代码执行 (RCE)。

🔍 **CWE ID**：CWE-611 (Improper Restriction of XML External Entity Reference)。 📍 **缺陷点**：在处理 Checkin 请求时，系统未对输入的 XML 实体进行严格校验，允许解析恶意构造的外部实体。

🏢 **厂商**：SysAid (以色列)。 📦 **产品**：SysAid On-Prem (本地化部署 ITSM 平台)。 📅 **受影响版本**：**23.3.40 及之前版本**。

👑 **权限提升**：可接管 **管理员账户**，获得最高控制权。 📂 **数据泄露**：具备 **文件读取** 能力，可窃取敏感配置或数据。 💻 **潜在风险**：结合其他漏洞 (CVE-2025-2776/7/8) 可形成 **PreAuth RCE 链**，直接执行系统命令。

🚪 **认证要求**：**无需认证 (Unauthenticated)**。 ⚙️ **配置要求**：利用门槛 **极低**，攻击者可直接通过网络发起请求，无需任何前置条件。

🧪 **PoC 存在**：是的，已有公开 PoC。 🔗 **来源**：WatchTowr Labs 发布了完整的 **PreAuth RCE Chain PoC** (Python 脚本)，以及 ProjectDiscovery 的 Nuclei 模板。 🌍 **在野利用**：参考链接暗示存在利用场景 (sysowned-your-friendly-rce-support-ticket)。

🔎 **扫描工具**：使用 **Nuclei** 模板 (`http/cves/2025/CVE-2025-2775.yaml`) 进行自动化扫描。 📡 **检测特征**：监控对 Checkin 处理端点的异常 XML 请求，特别是包含外部实体引用的 payload。

🛡️ **官方修复**：参考链接指向 SysAid 文档 (24-40-60)，暗示 **24.40 版本** 可能已修复或提供缓解措施。 📝 **建议**：立即查阅官方文档确认具体补丁版本，并升级至安全版本。

🚧 **临时规避**： 1. **网络隔离**：限制对 SysAid 服务的访问，仅允许可信 IP。 2. **WAF 规则**：部署 Web 应用防火墙，拦截包含 XML 实体注入特征的请求。 3. **输入过滤**：若可修改代码，禁用 XML 解析器中的外部实体解析功能。

🔥 **优先级**：**紧急 (Critical)**。 ⚡ **理由**：CVSS 评分高，**无需认证**，且已有 **公开 PoC** 和 **RCE 利用链** 证据。攻击成本极低，危害极大，需立即处置。