CVE-2024-21577 — 神龙十问 AI 深度分析摘要

🚨 **本质**：ComfyUI_AceNodes 插件存在 **任意代码执行 (RCE)** 漏洞。 💥 **后果**：攻击者可构建恶意工作流，直接在服务器上 **执行任意代码**，彻底接管系统。

🔍 **CWE**：CWE-94 (代码注入)。 📍 **缺陷点**：`ACE_ExpressionEval` 节点的入口点函数未对输入进行严格过滤，直接接受了 **任意用户控制的数据** 并执行。

📦 **组件**：ComfyUI-Ace-Nodes。 👤 **开发者**：hay86 (Kaifeng Xu)。 📅 **披露时间**：2024-12-13。

👑 **权限**：服务器 **完全控制权**。 📊 **数据**：可读取、修改、删除服务器上的 **所有数据**。 🛠️ **能力**：安装后门、挖矿、横向移动，CVSS 评分极高 (C:H/I:H/A:H)。

🚪 **门槛**：**极低**。 🔓 **认证**：无需认证 (PR:N)。 🌐 **网络**：网络可访问即可 (AV:N)。 👤 **交互**：无需用户交互 (UI:N)。 ⚡ **复杂度**：低 (AC:L)。

📜 **PoC**：漏洞数据中 **未提供** 现成 PoC。 🌍 **在野**：暂无在野利用报告。 🔗 **参考**：可查阅 GitHub 源码特定行 (nodes.py#L1193) 理解原理。

🔎 **自查**：检查 ComfyUI 是否安装了 `ComfyUI_AceNodes` 插件。 📂 **定位**：查看 `nodes.py` 文件中 `ACE_ExpressionEval` 相关代码逻辑。 📡 **扫描**：监控是否有异常的 Python 表达式执行日志。

🛡️ **补丁**：数据中 **未提及** 官方已发布修复补丁。 ⚠️ **状态**：建议立即联系开发者 hay86 或查看 GitHub Issues 获取最新修复状态。

🚫 **规避**： 1. **禁用插件**：暂时移除或重命名 `ComfyUI_AceNodes` 文件夹。 2. **隔离环境**：不要在公网暴露 ComfyUI 服务。 3. **限制输入**：如果必须使用，严格审查工作流中的表达式节点输入。

🔥 **优先级**：**紧急 (Critical)**。 ⚠️ **理由**：CVSS 3.1 满分风险，无需认证即可远程 RCE，对服务器安全威胁极大，建议 **立即处置**。