CVE-2023-41919 — 神龙十问 AI 深度分析摘要

🚨 **本质**：设备使用了**硬编码凭据**。 🔥 **后果**：攻击者可轻易获取**最高权限**，完全控制设备，导致数据泄露或服务中断。

🛡️ **CWE**：CWE-798（使用硬编码凭证）。 ❌ **缺陷**：厂商在固件中写死了默认账号密码，且未提供修改机制或默认密码过于简单。

📦 **厂商**：千视（Kiloview）。 🎯 **产品**：**P1** 和 **P2** 4G视频编码器。 ⚠️ **注意**：需确认具体固件版本是否受影响。

👑 **权限**：**高**（CVSS评分极高，影响机密性、完整性、可用性均为高）。 💾 **数据**：可访问设备配置、视频流数据，甚至作为跳板攻击内网。

🚪 **门槛**：**极低**。 🔓 **认证**：无需认证（PR:N），网络可达即可利用。 🎲 **复杂度**：低（AC:L），无需特殊技巧。

🧪 **Exp**：目前**无公开PoC**。 🌍 **在野**：暂无在野利用报告。 ⚠️ **风险**：因凭据硬编码，编写Exp极其简单，随时可能被自动化脚本利用。

🔍 **自查**： 1. 尝试使用厂商默认账号密码登录。 2. 检查设备是否允许修改默认密码。 3. 使用Nmap等工具扫描开放端口及服务指纹。

📅 **发布时间**：2024-07-02。 🔧 **补丁**：数据中未提及官方已发布具体补丁链接。 📢 **建议**：立即联系千视官方获取最新固件或修复方案。

🛡️ **临时规避**： 1. **网络隔离**：将设备置于隔离VLAN，禁止直接访问互联网。 2. **修改密码**：如果支持，立即修改默认凭据。 3. **访问控制**：限制仅允许特定IP管理设备。

🔥 **优先级**：**紧急**。 📈 **CVSS**：高分漏洞，利用成本几乎为零。 🏃 **行动**：建议**立即**进行排查和隔离，防止被自动化攻击利用。