CVE-2024-28848 — 神龙十问 AI 深度分析摘要

🚨 **本质**：OpenMetadata 存在 **SpEL 注入漏洞**。 📍 **位置**：`GET /api/v1/policies/validation/condition/` 接口。 💥 **后果**：攻击者可利用该漏洞执行 **远程代码 (RCE)**，彻底接管系统。

🔍 **CWE ID**：**CWE-94**（代码注入）。 🐛 **缺陷点**：Java 代码中未对用户输入的 SpEL 表达式进行严格过滤或安全评估，导致恶意代码被编译执行。

📦 **产品**：**OpenMetadata**。 📅 **版本**：**1.2.4 之前**的所有版本。 🏢 **厂商**：open-metadata。

👑 **权限**：需 **低权限 (PR:L)** 即可触发。 📊 **影响**： - **机密性 (C:H)**：数据泄露。 - **完整性 (I:H)**：数据被篡改。 - **可用性 (A:H)**：服务中断。 - **核心能力**：**远程代码执行**。

🚪 **利用门槛**：**低**。 - **网络**：远程 (AV:N)。 - **复杂度**：低 (AC:L)。 - **用户交互**：无需 (UI:N)。 ⚠️ **注意**：需要 **低权限认证** (PR:L)，非完全匿名利用。

📜 **PoC**：漏洞数据中 **pocs 为空**，暂无公开现成 Exp。 🌍 **在野利用**：数据未提及，但鉴于 RCE 危害，需高度警惕。

🔎 **自查特征**： 1. 检查 OpenMetadata 版本是否 **< 1.2.4**。 2. 扫描接口 `GET /api/v1/policies/validation/condition/`。 3. 尝试注入 SpEL 表达式（如 `T(java.lang.Runtime).getRuntime().exec(...)`）看是否报错或执行。

🛡️ **官方修复**：已发布安全公告 (GHSA-5xv3-fm7g-865r)。 ✅ **方案**：升级至 **OpenMetadata 1.2.4 或更高版本**。

🚧 **临时规避**： 1. **升级**是唯一根治方案。 2. 若无法升级，限制该 API 端点的访问权限，仅允许可信内部 IP 访问。 3. 部署 WAF 拦截包含 SpEL 关键字的恶意请求。

🔥 **优先级**：**极高 (Critical)**。 💡 **见解**：CVSS 评分高 (H/I/A 均为 H)，且为 **RCE** 漏洞。只要拥有低权限账号即可利用，建议 **立即升级** 或实施严格访问控制。