CVE-2025-68926 — 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：硬编码静态令牌用于 gRPC 认证。 💥 **后果**：攻击者可获取 **完全管理员权限**，导致数据破坏、策略操纵及集群配置被篡改。
Q2根本原因？（CWE/缺陷点）
🛡️ **CWE-798**：使用了 **硬编码凭证**。 🔍 **缺陷点**：gRPC 身份验证令牌 "rustfs rpc" 写死在代码中，无法通过配置更改。
Q3影响谁？（版本/组件）
📦 **产品**：rustfs (高性能对象存储系统)。 📅 **版本**：**1.0.0-alpha.77 之前**的所有版本。
Q4黑客能干啥？（权限/数据）
👮 **权限**：无需认证即可访问 gRPC API，获得 **Full Admin Access**。 📂 **数据**：可执行特权操作，包括 **数据破坏** 和 **集群配置更改**。
Q5利用门槛高吗？（认证/配置）
📉 **门槛极低**。 🔓 **认证**：**无需认证** (PR:N)。 🌐 **网络**：远程利用 (AV:N)。 ⚙️ **复杂度**：低 (AC:L)。
Q6有现成Exp吗？（PoC/在野利用）
🔥 **有现成 Exp**。 📂 **PoC**：GitHub 上已有多个 POC 仓库 (如 Chocapikk, Arcueld)。 🔎 **扫描**：Nuclei 模板已更新 (projectdiscovery)。
Q7怎么自查？（特征/扫描）
🔍 **自查特征**：检查 gRPC 调用是否使用固定令牌 "rustfs rpc"。 🛠️ **工具**：使用 Nuclei 模板 `code/cves/2025/CVE-2025-68926.yaml` 进行扫描。
Q8官方修了吗？（补丁/缓解）
🩹 **补丁状态**：官方已发布安全公告 (GHSA-h956-rh7x-ppgj)。 ✅ **修复方案**：升级至 **1.0.0-alpha.77 或更高版本**。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1. **升级**：尽快升级版本。 2. **网络隔离**：限制 gRPC 端口访问，仅允许可信 IP。 3. **编译注意**：旧版本需重新编译才能修改令牌，建议直接升级。
Q10急不急？（优先级建议）
🔴 **优先级：极高 (Critical)**。 ⚡ **CVSS 9.8**：完全暴露，无需认证，影响完整性/可用性/机密性。 🏃 **行动**：**立即修复**，防止集群被接管。