CVE-2025-41764 — 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：MBS多款工业设备存在**授权不足**漏洞。<br>🔥 **后果**：攻击者可上传并应用**任意更新**，彻底控制设备。
Q2根本原因？（CWE/缺陷点）
🛡️ **CWE-862**：缺失必要的授权。<br>📍 **缺陷点**：`wwwupdate.cgi` 端点未严格校验权限，导致越权操作。
Q3影响谁？（版本/组件）
🏭 **厂商**：德国 MBS 公司。<br>📦 **受影响产品**：<br>• MBS UBR-01 Mk II<br>• MBS UBR-02<br>• MBS UBR-LON
Q4黑客能干啥？（权限/数据）
💻 **权限**：可执行任意代码/固件。<br>📂 **数据**：虽CVSS显示C:N，但I:H/A:H意味着**完整性**和**可用性**完全丧失，设备变砖或被控。
Q5利用门槛高吗？（认证/配置）
⚡ **门槛低**：<br>• 网络访问 (AV:N)<br>• 无需认证 (PR:N)<br>• 无需交互 (UI:N)<br>• 攻击复杂度低 (AC:L)
Q6有现成Exp吗？（PoC/在野利用）
❌ **无现成Exp**：数据中 `pocs` 为空。<br>⚠️ **在野利用**：未知，但鉴于低门槛，风险极高。
Q7怎么自查？（特征/扫描）
🔍 **自查特征**：扫描目标是否包含 `wwwupdate.cgi` 接口。<br>📡 **扫描建议**：针对 MBS UBR 系列设备进行端口和服务指纹识别。
Q8官方修了吗？（补丁/缓解）
📢 **官方动态**：已发布安全公告 (mbs-2025-0001)。<br>🔗 **参考**：https://www.mbs-solutions.de/mbs-2025-0001<br>⏳ **状态**：需查阅公告获取具体补丁版本。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：<br>1. **网络隔离**：将该设备置于不可信网络之外。<br>2. **防火墙**：阻断对 `wwwupdate.cgi` 的外部访问。<br>3. **禁用**：如非必需，暂时关闭相关服务。
Q10急不急？（优先级建议）
🔴 **优先级：高**。<br>💡 **理由**：CVSS 分数高 (I:H/A:H)，且无需认证即可利用。工业控制设备一旦被控，后果严重，建议**立即**采取缓解措施并跟进补丁。