CVE-2024-25110 — 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：UAMQP 库存在**释放后重用 (Use-After-Free)** 漏洞。 🔥 **后果**：攻击者可利用此漏洞执行**远程代码 (RCE)**，彻底接管系统。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-94（代码注入/不安全处理）。 📍 **缺陷点**：在调用 `open_get_offered_cabilities` 期间，内存管理不当导致已释放内存被再次使用。
Q3影响谁？（版本/组件）
🏢 **厂商**：Azure。 📦 **组件**：azure-uamqp-c (UAMQP 通用 C 库)。 📅 **版本**：**2023-12-01 之前**的版本存在风险。
Q4黑客能干啥？（权限/数据）
👑 **权限**：最高权限（远程代码执行）。 💾 **数据**：完全可控，可窃取、篡改或销毁数据。 🌐 **范围**：CVSS 评分极高 (H/H/H)，影响机密性、完整性和可用性。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：**极低**。 🔑 **认证**：无需认证 (PR:N)。 🖱️ **交互**：无需用户交互 (UI:N)。 🌍 **攻击向量**：网络远程 (AV:N)，低复杂度 (AC:L)。
Q6有现成Exp吗？（PoC/在野利用）
🧪 **PoC**：当前数据中 **无** 公开 PoC 或现成 Exploit。 🌍 **在野**：暂无在野利用报告。 ⚠️ **注意**：虽无公开 Exp，但漏洞本质严重，随时可能被利用。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查项目中引用的 `azure-uamqp-c` 库版本。 📉 **标准**：确认版本号是否早于 **2023-12-01** 的发布节点。 🛠️ **工具**：使用依赖扫描工具检测旧版本 UAMQP。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：已修复。 🔗 **修复链接**：[GitHub Commit](https://github.com/Azure/azure-uamqp-c/commit/30865c9ccedaa32ddb036e87a8ebb52c3f18f695) 📜 **公告**：[GitHub Advisory](https://github.com/Azure/azure-uamqp-c/security/advisories/GHSA…
Q9没补丁咋办？（临时规避）
⏸️ **临时规避**：若无法立即升级，建议**限制网络访问**，仅允许受信任源连接 AMQP 服务。 🚫 **隔离**：将受影响服务隔离在内部网络，减少暴露面。 🔄 **监控**：加强日志监控，检测异常内存行为或代码执行迹象。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急 (Critical)**。 📈 **理由**：CVSS 满分风险，远程无需认证即可 RCE。 ✅ **行动**：立即升级 UAMQP 至最新版本，消除高危隐患。