CVE-2020-4463 — 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：XML外部实体注入 (XXE) 漏洞。 💥 **后果**：敏感信息泄露、内存资源被恶意消耗。
Q2根本原因？（CWE/缺陷点）
🔍 **根本原因**：程序**未正确处理 XML 外部实体**。 ⚠️ **缺陷点**：缺乏对 XML 解析的安全配置。
Q3影响谁？（版本/组件）
🎯 **受影响产品**：IBM Maximo Asset Management。 📦 **高危版本**：7.6.0、7.6.1 及 **7.6.0 之前所有版本**。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**： 1. **泄露敏感信息** (C:H)。 2. **消耗内存资源** (A:L)。 🔓 **权限**：无需认证 (PR:N)。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**极低**。 🌐 **网络**：远程 (AV:N)。 🔑 **认证**：无需权限 (PR:N)。 🧠 **交互**：无需用户交互 (UI:N)。
Q6有现成Exp吗？（PoC/在野利用）
💻 **现成 Exp**：**有**。 🔗 **PoC 链接**：GitHub 上有专门针对此 XXE 漏洞的 PoC 代码。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**： 1. 检查 Maximo 版本是否在 **7.6.1 及以下**。 2. 使用 Nuclei 模板扫描 XXE 特征。 3. 关注 XML 处理接口的异常响应。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：IBM 已发布支持页面说明 (Support Page)。 📅 **发布时间**：2020-07-29。 ✅ **建议**：升级至修复版本或应用官方补丁。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1. **禁用** XML 外部实体解析功能。 2. 配置 WAF 拦截恶意 XML 载荷。 3. 限制 XML 解析器的资源访问权限。
Q10急不急？（优先级建议）
⚡ **优先级**：**高**。 📊 **CVSS**：8.2 (高危)。 🚨 **理由**：远程无需认证即可利用，直接导致信息泄露，建议立即排查。