CVE-2025-54887 — 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：JWE加密库的认证标签可被暴力破解。 💥 **后果**：导致**机密性丧失**，攻击者可解密数据或伪造令牌。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-354 (对加密标签的不正确验证)。 🐛 **缺陷**：加密JWE的**认证标签**缺乏足够的熵或验证机制，允许暴力破解。
Q3影响谁？（版本/组件）
📦 **组件**：jwt/ruby-jwe (Ruby JSON Web加密库)。 📅 **版本**：**1.1.0 及之前版本**均受影响。
Q4黑客能干啥？（权限/数据）
🕵️ **权限**：无需认证，远程利用。 📂 **数据**：可**解密**敏感JWE内容，或**伪造**任意JWE令牌，破坏完整性。
Q5利用门槛高吗？（认证/配置）
📉 **门槛**：**极低**。 ⚙️ **配置**：CVSS显示 **AV:N/AC:L/PR:N/UI:N**，网络可达、无需权限、无需用户交互。
Q6有现成Exp吗？（PoC/在野利用）
💻 **PoC**：**有**。 🔗 链接：[GitHub PoC](https://github.com/shinigami-777/PoC_CVE-2025-54887)，含详细Writeup和视频演示。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查Ruby项目中是否依赖 `ruby-jwe` 且版本 **<= 1.1.0**。 🛠️ **扫描**：使用依赖扫描工具检测该特定库版本。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：**已修复**。 📝 参考：[GitHub Commit](https://github.com/jwt/ruby-jwe/commit/1e719d79ba3d7aadaa39a2f08c25df077a0f9ff1) 及 [GHSA公告](https://github.com/jwt/ruby-jwe/security/advisories/GHSA-c7p4-hx26-pr73)。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：若无法立即升级，建议**暂时禁用**涉及该库的JWE加密功能，或迁移至其他安全的加密实现。
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。 📊 CVSS评分高 (C:H/I:H)，且PoC公开，建议**立即升级**至修复版本。