CVE-2026-35431 — 神龙十问 AI 深度分析摘要

🚨 **本质**：服务端请求伪造 (SSRF) 导致的代码问题。 🔥 **后果**：攻击者可执行**欺骗攻击**，绕过正常逻辑。

🔍 **CWE**：CWE-918 (SSRF)。 🐛 **缺陷**：服务端在处理请求时未正确验证目标地址，导致**代码逻辑被操纵**。

🏢 **厂商**：Microsoft。 📦 **组件**：Microsoft Entra ID Entitlement Management（身份治理服务）。

💀 **权限**：CVSS 评分极高 (H)。 📊 **数据**：可造成**高机密性、完整性及可用性**损失，可能窃取数据或破坏系统。

⚡ **门槛**：极低。 🔓 **条件**：网络可访问 (AV:N)、低复杂度 (AC:L)、**无需认证** (PR:N)、无需用户交互 (UI:N)。

🧪 **Exp**：数据中 **PoCs 为空**。 🌍 **在野**：暂无公开在野利用报告，但风险极高。

🔎 **自查**：检查 Microsoft Entra ID 配置。 📡 **扫描**：关注 SSRF 相关特征，特别是涉及**外部资源请求**的 API 调用。

🛡️ **官方**：已发布安全更新。 🔗 **链接**：[Microsoft 更新指南](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-35431)。 ✅ **状态**：建议立即**安装补丁**。

🚧 **临时**：若无补丁，需严格**限制出站流量**。 🚫 **配置**：禁用不必要的网络访问，实施**网络分段**，防止内部服务被滥用。

🔥 **优先级**：**紧急**。 📈 **理由**：CVSS 向量显示**完全可利用**且影响严重，无需认证即可远程攻击，务必**优先修复**。