CVE-2011-4367 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Apache MyFaces Core 存在**目录遍历漏洞**。 📉 **后果**：攻击者可读取服务器上的**敏感文件**（如 web.xml），导致**信息泄露**。

🔍 **缺陷点**：`faces/javax.faces.resource` 处理逻辑存在缺陷。 🚫 **CWE**：数据中未提供具体 CWE ID，但核心是**路径验证缺失**。

📦 **受影响组件**：Apache MyFaces Core (JSF 实现)。 📅 **高危版本**： - **2.0.x**：2.0.0 至 2.0.111 - **2.1.x**：2.1.0 至 2.1.5

🕵️ **黑客能力**： - **读取文件**：通过构造恶意 URL 遍历目录。 - **信息泄露**：获取 `web.xml` 等配置文件，窥探应用架构。

🔓 **利用门槛**：**低**。 - **无需认证**：通常针对公开资源接口。 - **无需配置**：只要运行受影响版本即可触发。

💻 **现成 Exp**：**有**。 - GitHub 上有多个 PoC 仓库（如 `apache__myfaces_CVE-2011-4367_2-0-11`）。 - 安全社区（Full Disclosure）已公开讨论。

🔎 **自查方法**： - **扫描**：检测 MyFaces 版本是否在 2.0.0-2.0.111 或 2.1.0-2.1.5 之间。 - **特征**：尝试访问 `faces/javax.faces.resource` 相关路径，观察是否返回非预期文件内容。

🛡️ **官方修复**：**已修复**。 - Apache 官方已发布安全公告。 - 建议升级至**不受影响的最新版本**。

⚠️ **临时规避**： - **升级版本**：最直接方案。 - **WAF 防护**：拦截包含 `../` 或针对 `javax.faces.resource` 的异常请求。 - **权限最小化**：限制 Web 服务器读取敏感配置文件的权限。

🔥 **优先级**：**中高**。 - 虽为信息泄露，但可辅助后续攻击。 - PoC 公开，利用简单，建议**尽快升级**或实施缓解措施。