CVE-2025-54863 — 神龙十问 AI 深度分析摘要
CVSS 10.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Radiometrics VizAir 系统配置文件泄露，导致 **REST API 密钥** 暴露。 🔥 **后果**：天气数据与配置被远程篡改，敏感气象数据泄露，直接威胁 **机场运营** 安全。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-522**：信息暴露（Information Exposure）。 📂 **缺陷点**：配置文件 **公开可访问**，未对敏感凭证（API Key）进行保护。
Q3影响谁？（版本/组件）
🏭 **厂商**：Radiometrics（美国）。 📦 **产品**：VizAir 气象监测与预警系统。 📅 **时间**：2025-11-04 发布。
Q4黑客能干啥？（权限/数据）
🕵️ **权限**：无需认证（PR:N），远程直接利用。 💾 **数据**：窃取 **敏感气象数据**，篡改 **系统配置**。 ✈️ **场景**：影响机场等关键基础设施的正常运作。
Q5利用门槛高吗？（认证/配置）
📉 **门槛极低**。 ✅ **无需认证**（PR:N）。 ✅ **攻击复杂度低**（AC:L）。 ✅ **无需用户交互**（UI:N）。
Q6有现成Exp吗？（PoC/在野利用）
🚫 **暂无 PoC**。 📄 **参考**：CISA 已发布 ICSA-25-308-04 警报，但 GitHub 上暂无公开利用代码。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：扫描系统是否暴露 **配置文件**。 🔑 **特征**：检查配置文件中是否包含明文 **REST API 密钥**。 🌐 **范围**：确认接口是否 **公开可访问**。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方动作**：CISA 已发布紧急警报（ICSA-25-308-04）。 📝 **建议**：立即参考 CSAF 文件及 CISA 官网指引进行修复。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1️⃣ **网络隔离**：禁止配置文件接口 **公网访问**。 2️⃣ **权限收紧**：移除或轮换泄露的 **API 密钥**。 3️⃣ **访问控制**：限制对配置文件的 **读取权限**。
Q10急不急？（优先级建议）
🔴 **优先级：极高**。 ⚡ **CVSS 评分**：危急（H/H/H）。 ⚠️ **理由**：无需认证即可远程篡改关键气象数据，直接影响 **机场安全**，必须立即处置。