CVE-2026-39860 — 神龙十问 AI 深度分析摘要
CVSS 9.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Nix 包管理器在处理**符号链接**时存在逻辑缺陷。 💥 **后果**：攻击者可利用此缺陷实现**任意文件覆盖**，进而导致**权限提升**，彻底破坏系统完整性。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE ID**：**CWE-61**（符号链接处理不当）。 📍 **缺陷点**：Nix 在解析或创建符号链接时，未严格校验目标路径，导致路径遍历或重定向攻击。
Q3影响谁？（版本/组件）
📦 **厂商**：**NixOS**。 📉 **受影响版本**： - Nix **2.34.5** 之前 - Nix **2.33.4** 之前 - Nix **2.32.7** 之前 - Nix **2.31.4** 之前 - Nix **2.30.4** 之前 - Nix **2.29.3** 之前 - Nix **2.28.6** 之前
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**： 1. **任意文件覆盖**：写入系统关键配置文件或二进制文件。 2. **权限提升**：从普通用户权限提升至 **Root/System** 权限。 3. **数据篡改**：修改系统状态，植入后门。
Q5利用门槛高吗？（认证/配置）
⚖️ **利用门槛**：**中等**。 - **本地攻击** (AV:L)：需本地访问权限。 - **低复杂度** (AC:L)：利用逻辑相对简单。 - **无需认证/交互** (PR:N/UI:N)：无需受害者主动点击或特殊认证即可触发（针对本地提权场景）。
Q6有现成Exp吗？（PoC/在野利用）
🧪 **PoC/Exp**：当前数据中 **pocs 为空**。 🌍 **在野利用**：暂无明确在野利用报告，但鉴于 CVSS 评分高，需警惕后续 Exp 出现。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**： 1. 运行 `nix --version` 检查版本号。 2. 若版本低于上述安全版本，立即标记为**高危**。 3. 监控 `/nix/store` 及系统关键路径下的异常符号链接创建行为。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：**已修复**。 📝 **补丁状态**：GitHub 安全公告 (GHSA-g3g9-5vj6-r3gj) 已发布，相关代码提交（如 `244f3eee` 等）已合并。 ✅ **建议**：升级至 **2.34.5** 或更高安全版本。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1. **升级优先**：尽快升级 Nix 至安全版本。 2. **权限隔离**：限制非特权用户对 Nix 构建环境的访问。 3. **监控日志**：审计 Nix 操作日志，发现异常符号链接操作立即阻断。
Q10急不急？（优先级建议）
🔥 **优先级**：**高 (High)**。 📊 **CVSS 3.1**：**7.8** (AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N)。 💡 **建议**：虽然需要本地访问，但**权限提升**风险极大，建议**立即升级**，避免被用于持久化控制。