CVE-2025-49853 — 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：SQL注入漏洞。 💥 **后果**：攻击者可**泄露任意信息**，甚至**插入任意SQL语法**，彻底破坏数据完整性。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-89**：SQL注入缺陷。 📍 **缺陷点**：软件未对用户输入进行充分过滤或参数化处理，导致恶意SQL代码被执行。
Q3影响谁？（版本/组件）
🏢 **厂商**：Control iD（巴西）。 📦 **产品**：iDSecure On-premises。 📅 **版本**：**4.7.48.0 及之前版本**均受影响。
Q4黑客能干啥？（权限/数据）
👮 **权限**：无需认证（PR:N）。 📊 **数据**：高机密性（C:H）和高完整性（I:H）影响。 🔓 **能力**：读取数据库所有数据，修改或删除关键记录。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：极低。 ⚙️ **配置**：网络可访问（AV:N），无需用户交互（UI:N），无需权限（PR:N）。 ⚡ **难度**：低复杂度（AC:L），远程即可利用。
Q6有现成Exp吗？（PoC/在野利用）
📜 **PoC**：数据中未提供公开PoC。 🌍 **在野**：暂无明确在野利用报告，但CVSS评分极高，风险不容忽视。
Q7怎么自查？（特征/扫描）
🔎 **自查**：扫描目标是否运行 Control iD iDSecure On-premises 4.7.48.0 及以下版本。 🛡️ **检测**：监控数据库查询日志，寻找异常的SQL注入特征字符串。
Q8官方修了吗？（补丁/缓解）
🩹 **补丁**：建议升级至**4.7.48.0之后**的安全版本。 📢 **参考**：CISA已发布ICS警报（ICSA-25-175-05），请查阅官方公告获取最新修复方案。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：若无补丁，立即限制对该服务的**网络访问**（仅允许信任IP）。 🔒 **缓解**：部署WAF规则拦截SQL注入 payload，或暂时关闭相关服务端口。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急**。 📈 **评分**：CVSS 9.1（高危）。 ⚠️ **建议**：鉴于无需认证且影响全面，建议**立即**采取缓解措施并规划升级。