CVE-2025-41118 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Pyroscope 配置不当导致敏感信息泄露。 💥 **后果**：攻击者可通过 API 直接提取 `secret_key`，危及系统安全。

🔍 **缺陷点**：**配置错误**（Misconfiguration）。 ⚠️ **CWE**：数据未提供具体 CWE ID，但核心在于**密钥管理不当**。

📦 **受影响组件**：Grafana 旗下 **Pyroscope**。 📅 **高危版本**： - < 1.15.2 - < 1.16.1 - < 1.17.0

🕵️ **黑客能力**： - 获取 **`secret_key`** 配置值。 - 利用密钥可能伪造身份或解密数据（CVSS 显示 **C:H, I:H**）。

🚪 **利用门槛**：**极低**。 - **无需认证** (PR:N) - **无需用户交互** (UI:N) - **网络远程** (AV:N) - **攻击复杂度低** (AC:L)

💣 **Exp/PoC**：当前 **无公开 PoC**。 🌍 **在野利用**：暂无报告，但鉴于利用简单，风险极高。

🔎 **自查方法**： 1. 检查 Pyroscope 版本是否低于上述阈值。 2. 审计 API 接口，确认 `secret_key` 是否未做权限控制即可访问。 3. 扫描配置文件中密钥的暴露情况。

🛡️ **官方修复**：已发布安全公告。 ✅ **解决方案**：升级至 **1.15.2+**、**1.16.1+** 或 **1.17.0+** 版本。

🚧 **临时规避**： - 限制 API 访问权限（如 IP 白名单）。 - 确保 `secret_key` 不通过明文 API 返回。 - 轮换已泄露的密钥。

🔥 **优先级**：**紧急**。 - CVSS 评分高（**Critical** 级别特征）。 - 无需认证即可利用，建议立即升级或实施缓解措施。