CVE-2025-46608 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Dell Data Lakehouse 存在**访问控制错误**。\n💥 **后果**：攻击者可利用此缺陷实现**权限提升**，突破原有安全边界。

🔍 **CWE**：CWE-284（访问控制错误）。\n📍 **缺陷点**：**访问控制不当**，系统未能正确验证用户权限。

🏢 **厂商**：Dell（戴尔）。\n📦 **产品**：Data Lakehouse。\n📉 **版本**：**1.6.0.0 之前**的所有版本均受影响。

🕵️ **黑客能力**：通过不当的访问控制，攻击者可**提升权限**。\n📂 **数据风险**：可能访问敏感数据或执行未授权操作（CVSS评分显示C/I/A均为高）。

🔑 **利用门槛**：**中等**。\n⚙️ **条件**：需要**高权限（PR:H）**才能触发或利用，非完全匿名利用。

🧪 **Exp状态**：目前**无现成PoC**。\n🌍 **在野利用**：暂无公开报告。\n📝 **参考**：仅见厂商安全公告。

🔎 **自查方法**：检查 Dell Data Lakehouse 版本是否 **< 1.6.0.0**。\n📋 **特征**：关注**访问控制逻辑**是否被绕过，特别是涉及权限提升的操作路径。

🛡️ **官方修复**：是。\n📄 **依据**：Dell 已发布安全公告 **DSA-2025-375**，提供安全更新。\n🔗 **链接**：见参考链接。

🚧 **临时规避**：\n1️⃣ **限制访问**：严格控制对 Data Lakehouse 的管理接口访问。\n2️⃣ **最小权限**：确保账户遵循**最小权限原则**，减少高权限账户暴露。\n3️⃣ **监控**：加强**权限变更**和**异常访问**的日志审计。

⚡ **优先级**：**高**。\n💡 **建议**：CVSS 向量显示**严重性高**（C:H, I:H, A:H）。建议立即规划**升级至 1.6.0.0 或更高版本**，以消除权限提升风险。