CVE-2025-8861 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Changing TSA 存在**访问控制错误**。 💥 **后果**：因**缺少身份验证**，导致数据库内容可被**读取、修改、删除**，数据完整性彻底丧失。

🔍 **CWE**：CWE-306（缺少身份验证）。 🛠️ **缺陷点**：服务端未对请求进行**身份校验**，导致任何人均可执行敏感操作。

🏢 **厂商**：Changing（中国台湾全景公司）。 📦 **产品**：TSA（时间戳服务器）。

🕵️ **权限**：**未授权**远程访问。 📂 **数据**：可**读取**、**修改**、**删除**数据库内所有数据，危害极大。

📉 **门槛**：**极低**。 🔑 **条件**：**无需认证**（PR:N），网络可达即可利用，无需用户交互。

📄 **Exp**：数据中 **PoCs 为空**。 🌍 **在野**：暂无明确在野利用报告，但利用逻辑简单，风险高。

🔎 **自查**：检查 TSA 服务接口是否**无需 Token/Session** 即可执行写操作。 📡 **扫描**：尝试发送未授权请求，观察是否返回成功或数据库错误。

🛡️ **官方**：参考链接指向 **TW-CERT** advisories。 📝 **状态**：建议立即查阅官方公告获取**补丁**或**缓解措施**。

⚠️ **临时**：若暂无补丁，立即**隔离**TSA服务器。 🚫 **网络**：配置防火墙，**仅允许**可信IP访问，或暂时**关闭**服务。

🔥 **优先级**：**紧急**。 📊 **CVSS**：**9.1** (Critical)。 🚀 **行动**：因影响范围涵盖机密性、完整性、可用性，需**立即处置**。