CVE-2014-0644 — 神龙十问 AI 深度分析摘要

🚨 **本质**：XML外部实体注入 (XXE)。 💥 **后果**：远程攻击者以 **root权限** 读取系统任意文件。

🔍 **缺陷点**：XML解析器未禁用外部实体。 ⚠️ **CWE**：数据中未提供具体CWE ID，但属典型XXE漏洞。

📦 **影响组件**：EMC Cloud Tiering Appliance (CTA)。 🏷️ **受影响版本**：**10** 和 **10 SP1**。

🕵️ **黑客能力**： 1. 读取 **任意文件**。 2. 拥有 **root权限**（最高权限）。

🚪 **利用门槛**： 🔓 **无需认证** (Unauthenticated)。 🌐 **远程** 即可触发。

📜 **现成Exp**： ✅ 有公开PoC/利用代码。 📂 参考链接：gist.github.com/brandonprry/9895721。

🔎 **自查方法**： 1. 检查是否运行 **EMC CTA v10/10 SP1**。 2. 扫描XML接口是否存在XXE特征。 3. 参考Bugtraq邮件列表中的利用细节。

🛡️ **官方修复**： ✅ 已发布安全公告 **ESA-2014-028**。 📅 发布时间：2014-04-16。

🚧 **临时规避**： 1. 立即应用 **官方补丁**。 2. 若无法升级，限制XML接口访问权限。 3. 禁用XML解析器中的外部实体功能。

🔥 **优先级**：**极高**。 ⚡ 原因：无需认证 + Root权限 + 数据泄露。建议 **立即修复**。