CVE-2025-47855 — 神龙十问 AI 深度分析摘要
CVSS 9.3 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：特制 HTTP/HTTPS 请求导致配置泄露。 🔥 **后果**：设备配置信息暴露，敏感数据丢失。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-200（信息泄露）。 🐛 **缺陷**：未正确限制对设备配置数据的访问权限。
Q3影响谁？（版本/组件）
🏢 **厂商**：Fortinet（飞塔）。 📱 **产品**：FortiFone IP电话。 📅 **版本**：7.0.0-7.0.1 或 3.0.13-3.0.23。
Q4黑客能干啥？（权限/数据）
💻 **权限**：无需认证（PR:N）。 📂 **数据**：完整设备配置泄露（C:H, I:H, A:H）。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：极低。 ⚙️ **条件**：网络可达即可，无需用户交互，无需认证。
Q6有现成Exp吗？（PoC/在野利用）
🧪 **Exp**：数据中未提供 PoC 或现成利用代码。 🌍 **在野**：暂无公开在野利用报告。
Q7怎么自查？（特征/扫描）
🔎 **自查**：扫描目标端口，发送特制 HTTP/HTTPS 请求。 📊 **特征**：观察响应中是否包含设备配置敏感字段。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方**：已发布 PSIRT 公告（FG-IR-25-260）。 🔧 **修复**：建议升级至安全版本或应用官方补丁。
Q9没补丁咋办？（临时规避）
⚠️ **规避**：限制管理接口访问权限。 🚫 **策略**：仅允许受信任 IP 访问 FortiFone 管理端口。
Q10急不急？（优先级建议）
🔥 **优先级**：高。 📈 **理由**：CVSS 满分风险（H/H/H），无认证即可利用，配置泄露危害大。