CVE-2024-21633 — 神龙十问 AI 深度分析摘要
CVSS 7.8 · High
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Apktool 存在**路径遍历漏洞**。 💥 **后果**：攻击者可利用资源名称推断输出路径，将恶意文件放置到系统**任意位置**，导致**任意文件写入**甚至**远程代码执行 (RCE)**。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-22 (路径遍历)。 🛠️ **缺陷点**：Apktool 根据**资源名称**直接推断资源文件的**输出路径**，未对路径进行严格校验，导致目录穿越。
Q3影响谁？（版本/组件）
📦 **组件**：Apktool (Android APK 逆向工程工具)。 👤 **厂商**：iBotPeaches。 📅 **影响版本**：**2.9.1 及之前版本**。
Q4黑客能干啥？（权限/数据）
🔓 **权限**：本地权限 (AV:L)。 💾 **数据**：高机密性 (C:H)、高完整性 (I:H)、高可用性 (A:H)。 🎯 **能力**：可写入任意文件，通过覆盖关键工具（如 jadx）实现 **RCE**。
Q5利用门槛高吗？（认证/配置）
⚠️ **门槛**：中等。 🔑 **认证**：无需认证 (PR:N)。 🖱️ **交互**：需要用户交互 (UI:R)。 ⚙️ **复杂度**：低 (AC:L)，利用条件简单。
Q6有现成Exp吗？（PoC/在野利用）
💣 **PoC**：有。 🔗 **链接**：GitHub 上已有利用 MobSF 进行 RCE 的 PoC (CVE-2024-21633)。 🌍 **在野**：虽已修复，但许多依赖 Apktool 的项目（如 MobSF）可能未及时跟进，存在实际利用风险。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查是否使用 **Apktool < 2.9.2**。 📡 **扫描**：使用 Nuclei 模板检测 APK 包中是否包含特定硬编码随机字符串，测试任意文件写入能力。 🛠️ **工具**：关注依赖 Apktool 的第三方平台（如 MobSF）。
Q8官方修了吗？（补丁/缓解）
🛡️ **已修复**：是。 📝 **补丁**：GitHub 安全公告 (GHSA-2hqv-2xv4-5h5w) 及 PR #3484 已发布修复。 ✅ **建议**：立即升级至 **2.9.2 或更高版本**。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：若无法升级，需严格审查输入的资源名称。 🚫 **限制**：禁止使用 Apktool 处理**不可信**的 APK 文件。 👀 **监控**：监控 Apktool 输出目录是否有异常文件写入。
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。 📉 **CVSS**：7.5 (高危)。 💡 **见解**：虽然需要用户交互，但鉴于其在逆向工程和自动化扫描平台（如 MobSF）中的广泛使用，且可导致 RCE，建议**立即升级**并检查依赖链。