CVE-2023-50245 — 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：OpenEXR Viewer 存在**内存溢出漏洞**（Arbitrary Address Write）。 💥 **后果**：攻击者可利用此漏洞实现**任意地址写入**，导致程序崩溃或执行恶意代码。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE ID**：CWE-120（缓冲区复制错误/Buffer Copy without Checking Size of Input）。 🛠️ **缺陷点**：在处理 OpenEXR 文件时，未对输入数据进行严格的边界检查，导致内存溢出。
Q3影响谁？（版本/组件）
📦 **受影响组件**：OpenEXR Viewer。 👤 **开发者**：Alban (afichet)。 📉 **危险版本**：**0.6.1 之前**的所有版本。
Q4黑客能干啥？（权限/数据）
🔓 **权限提升**：无需用户交互或权限即可触发。 📊 **数据影响**：CVSS 评分高达 **9.8**（Critical）。可导致 **Confidentiality (C)**, **Integrity (I)**, **Availability (A)** 全部严重受损。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**极低**。 ✅ **认证**：PR:N (无需认证)。 ✅ **用户交互**：UI:N (无需用户交互)。 ✅ **攻击复杂度**：AC:L (低)。
Q6有现成Exp吗？（PoC/在野利用）
💻 **PoC 状态**：有现成 PoC。 🔗 **来源**：GitHub 上已有公开 POC (CVE-2023-50245)。 ⚠️ **在野利用**：数据未明确提及在野利用，但 PoC 已公开，风险极高。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**： 1. 检查是否安装了 **OpenEXR Viewer**。 2. 确认版本号是否 **< 0.6.1**。 3. 扫描日志中是否有 `Access violation - code c0000005` 等内存访问违规记录。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：已修复。 📅 **披露时间**：2023-12-11。 🔗 **参考**：GitHub Security Advisories (GHSA-99jg-r3f4-rpxj) 及后续 Commit 已包含修复代码。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**： 1. **立即卸载**受影响版本 (< 0.6.1)。 2. 升级至 **0.6.1 或更高版本**。 3. 若无法升级，禁止打开来源不明的 `.exr` 文件。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急 (Critical)**。 💡 **建议**：CVSS 9.8 分意味着高危。由于无需交互且 PoC 公开，建议**立即升级**或卸载该工具，避免被远程利用。