CVE-2025-30012 — 神龙十问 AI 深度分析摘要
CVSS 10.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：SAP SRM 使用了**废弃的 Java 小程序组件**，导致存在**代码问题漏洞**。后果是可能引发**数据反序列化**攻击，直接威胁系统安全。
Q2根本原因？（CWE/缺陷点）
🔍 **根本原因**：CWE-502（**反序列化漏洞**）。缺陷点在于使用了**废弃/过时**的 Java 组件，缺乏对输入数据的严格校验，导致恶意对象被反序列化执行。
Q3影响谁？（版本/组件）
🛡️ **影响对象**：**SAP Supplier Relationship Management (SRM)** 系统。具体涉及组件为 **Live Auction Cockpit**（实时拍卖驾驶舱）。
Q4黑客能干啥？（权限/数据）
💀 **黑客能力**：CVSS 评分极高（C:H/I:H/A:H）。黑客可获取**高权限**，实现**完全数据泄露**、**数据篡改**以及**服务中断**（拒绝服务）。
Q5利用门槛高吗？（认证/配置）
⚡ **利用门槛**：**极低**。CVSS 向量显示：网络攻击 (AV:N)、低复杂度 (AC:L)、无需权限 (PR:N)、无需用户交互 (UI:N)。远程匿名即可利用。
Q6有现成Exp吗？（PoC/在野利用）
📦 **Exp 现状**：当前数据中 **pocs 为空**。暂无公开的具体 PoC 代码或确认的在野利用报告，但鉴于 CVSS 满分风险，需高度警惕。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：检查 SAP SRM 系统中是否启用了 **Live Auction Cockpit** 功能。扫描是否存在遗留的 **Java Applet** 相关组件或依赖库。
Q8官方修了吗？（补丁/缓解）
🛠️ **官方修复**：SAP 已发布安全补丁。参考文档：**SAP Note 3578900**。请前往 SAP Support Portal 下载最新补丁并应用。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：若无法立即打补丁，建议**禁用** Live Auction Cockpit 功能或移除相关 Java 小程序组件。配置 WAF 拦截可疑的反序列化流量。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急**。CVSS 3.1 基础评分极高，且无需认证即可远程利用。建议**立即**评估影响范围并安排紧急补丁更新。