CVE-2026-1364 — 神龙十问 AI 深度分析摘要

🚨 **本质**：JNC IAQS/I6 存在**访问控制错误**。 💥 **后果**：因**缺少身份验证**，远程攻击者可**直接操作系统管理功能**，完全接管设备。

🔍 **CWE**：CWE-306（缺少身份验证）。 📍 **缺陷点**：关键管理接口**未设置鉴权机制**，任何人都能访问。

🏢 **厂商**：中国台湾铭祥（JNC）。 📦 **产品**：**JNC IAQS**（智能室内空气质量监测系统）及 **JNC I6**（物联网网关记录器）。

🔓 **权限**：获得**最高管理权限**。 📊 **数据**：可**完全控制**设备，修改配置、窃取数据或植入后门。

📉 **门槛**：**极低**。 🔑 **条件**：**无需认证**（PR:N），**无需用户交互**（UI:N），网络可达即可利用。

🧪 **Exp**：数据中 **PoCs 为空**。 🌍 **在野**：暂无公开在野利用报告，但利用逻辑简单，风险极高。

🔎 **自查**：尝试访问设备管理接口，若**无需登录**即可看到管理菜单或执行命令，即存在漏洞。 📡 **扫描**：检测未授权访问的管理端口。

🛡️ **补丁**：参考链接指向 **TW-CERT** advisories，建议立即联系厂商获取**官方固件更新**或安全补丁。

🚧 **临时规避**： 1. **网络隔离**：将设备置于**内网**，禁止公网访问。 2. **防火墙**：限制管理端口仅对**可信IP**开放。 3. **强密码**：虽无鉴权漏洞，但确保其他接口有强认证。

🔥 **优先级**：**紧急**。 ⚖️ **CVSS**：**9.8**（Critical）。 📢 **建议**：立即隔离设备并联系厂商修复，避免被直接接管。