CVE-2025-36157 — 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：IBM Jazz Foundation 存在未授权访问漏洞。 💥 **后果**：攻击者可远程更新服务器属性文件，执行未授权操作，导致系统完整性受损。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-863（不正确的授权）。 📍 **缺陷点**：缺乏对远程请求的**身份验证**，允许未经验证的用户修改关键配置。
Q3影响谁？（版本/组件）
🏢 **厂商**：IBM。 📦 **组件**：Engineering Lifecycle Management (Jazz Foundation)。 📅 **版本**： - 7.0.2 ~ 7.0.2 iFix035 - 7.0.3 ~ 7.0.3 iFix018 - 7.1.0 ~ 7.1.0 iFix004
Q4黑客能干啥？（权限/数据）
🕵️ **权限**：无需认证（PR:N）。 📊 **数据**：可完全控制服务器属性文件。 ⚠️ **影响**：CVSS 评分极高（C:H/I:H/A:H），可能导致**机密性、完整性、可用性**全面崩溃。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：极低。 🌐 **网络**：远程可访问（AV:N）。 🔑 **认证**：无需登录（PR:N）。 👀 **交互**：无需用户操作（UI:N）。 📉 **复杂度**：低（AC:L）。
Q6有现成Exp吗？（PoC/在野利用）
📜 **PoC**：数据中未提供公开 PoC。 🔥 **在野利用**：暂无相关报道。 ⚠️ **注意**：鉴于利用条件极低，需警惕自动化扫描工具的快速利用。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**： 1. 检查 IBM Jazz 版本是否在受影响列表中。 2. 审计服务器属性文件的访问日志，查找非授权写入记录。 3. 使用漏洞扫描器检测 CVE-2025-36157。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：有。 📝 **依据**：IBM 官方支持页面（Support Page）已发布补丁。 👉 **行动**：立即升级至最新 iFix 版本或应用官方补丁。
Q9没补丁咋办？（临时规避）
⏳ **临时规避**： 1. 限制对 Jazz 平台的**网络访问**（仅允许可信 IP）。 2. 强化**访问控制列表**（ACL）。 3. 密切监控服务器属性文件的**变更行为**。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急**。 📈 **理由**：CVSS 满分风险（高机密/完整/可用性影响），且无需认证即可远程利用。 🚀 **建议**：立即打补丁，切勿拖延！