CVE-2022-31706 — 神龙十问 AI 深度分析摘要

🚨 **本质**：路径遍历漏洞（Directory Traversal）。 💥 **后果**：攻击者可注入文件到操作系统，直接导致 **远程代码执行 (RCE)**。

🔍 **缺陷点**：未对输入路径进行严格校验。 ⚠️ **CWE**：数据未提供具体 CWE ID，但属于典型的 **路径遍历** 类缺陷。

🎯 **目标**：VMware **vRealize Log Insight** (vRLI)。 🏢 **厂商**：VMware (威睿)。

👑 **权限**：无需认证，直接获取系统级权限。 📂 **数据**：可任意写入文件，进而执行任意代码，完全控制受影响设备。

📉 **门槛**：**极低**。 🔓 **认证**：**无需身份验证** (Unauthenticated)。 🌐 **配置**：只要服务暴露即可利用。

💻 **Exp**：**有现成 PoC**。 🔗 来源：ProjectDiscovery Nuclei 模板及 PacketStorm 均有详细利用说明。

🔎 **自查**：扫描 vRLI 服务是否存在路径遍历特征。 🛠 **工具**：使用 Nuclei 模板 `CVE-2022-31706.yaml` 进行快速检测。

🛡️ **官方修复**：**已发布补丁**。 📄 参考：VMSA-2023-0001 安全公告。建议立即升级至安全版本。

⏸️ **临时规避**：若无法立即打补丁，需严格限制 vRLI 服务的 **网络访问权限**。 🚫 禁止公网暴露，仅允许受信任 IP 访问。

🔥 **优先级**：**极高 (Critical)**。 ⚡ **理由**：无认证即可 RCE，危害极大。建议 **立即修复**！