CVE-2025-42922 — 神龙十问 AI 深度分析摘要
CVSS 9.9 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：SAP NetWeaver AS Java 存在**代码注入**漏洞。 🔥 **后果**：源于允许**上传任意文件**，可能导致**系统完全被控制**。
Q2根本原因？（CWE/缺陷点）
🛡️ **CWE**：CWE-94（代码注入）。 🔍 **缺陷点**：缺乏对**任意文件上传**的有效限制，导致恶意代码执行。
Q3影响谁？（版本/组件）
🏢 **厂商**：SAP_SE（思爱普）。 💻 **组件**：SAP NetWeaver AS Java (Deploy Web Service)。
Q4黑客能干啥？（权限/数据）
👑 **权限**：CVSS评分极高（H/H/H），攻击者可获取**最高权限**。 💾 **数据**：可完全控制系统，窃取或篡改所有数据。
Q5利用门槛高吗？（认证/配置）
🔑 **认证**：CVSS显示 `PR:L`，需要**低权限认证**。 🌐 **网络**：`AV:N` 表示**网络远程**可利用，无需物理接触。
Q6有现成Exp吗？（PoC/在野利用）
📦 **Exp**：数据中 `pocs` 为空，暂无公开 PoC。 ⚠️ **在野**：未提及在野利用，但风险极高，需警惕。
Q7怎么自查？（特征/扫描）
🔍 **自查**：检查 SAP NetWeaver AS Java 的 **Deploy Web Service** 接口。 📝 **特征**：关注是否允许**非授权文件上传**或代码执行请求。
Q8官方修了吗？（补丁/缓解）
🛠️ **补丁**：已发布官方修复。 📖 **参考**：SAP Note **3643865** 及 SAP 安全补丁日页面。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：若无补丁，应**禁用**或限制 Deploy Web Service 访问。 🔒 **网络**：实施严格的**网络隔离**和访问控制列表 (ACL)。
Q10急不急？（优先级建议）
⚡ **优先级**：**紧急**。 📈 **理由**：CVSS 向量显示**完全影响**（Conf/Int/Av 均为 High），且为远程可利用，需立即行动。