CVE-2024-41113 — 神龙十问 AI 深度分析摘要

🚨 **本质**：远程代码执行 (RCE) 漏洞。 💥 **后果**：攻击者可通过构造恶意输入，在服务器上执行任意系统命令，彻底接管应用。

🔍 **CWE**：CWE-20 (输入验证不当)。 📍 **缺陷点**：`pages/1_📷_Timelapse.py` 中的 `vis_params` 变量。 ⚠️ **原因**：用户输入直接传入 `eval()` 函数执行，未做安全过滤。

📦 **组件**：`streamlit-geospatial`。 🏢 **厂商**：opengeos。 🌍 **场景**：基于 Streamlit 的地理空间多页应用程序。

👑 **权限**：获得应用运行环境的系统权限。 📂 **数据**：可读取、修改或删除服务器上的任何文件。 💻 **控制**：完全控制后端服务器，可进一步横向移动。

📉 **门槛**：极低。 🔓 **认证**：无需认证 (PR:N)。 🌐 **网络**：网络可访问即可 (AV:N)。 👤 **交互**：无需用户交互 (UI:N)。

📜 **PoC**：数据中未提供现成 Exploit。 🌍 **在野**：暂无在野利用报告。 🔗 **参考**：详见 GitHub Security Lab 公告 (GHSL-2024-100)。

🔎 **自查特征**：检查代码中是否存在 `eval()` 处理用户输入的情况。 📂 **关键文件**：定位 `pages/1_📷_Timelapse.py` 第 390-393 行及 395 行。 🛠️ **扫描**：静态代码分析工具可检测硬编码的 `eval` 调用。

✅ **已修复**：官方已发布补丁。 🔗 **修复提交**：commit `c4f81d9616d40c60584e36abb15300853a66e489`。 📅 **时间**：2024-07-26 公布。

🛡️ **临时规避**： 1️⃣ **禁用功能**：暂时移除或禁用 `Timelapse` 页面。 2️⃣ **网络隔离**：限制对该应用的网络访问权限。 3️⃣ **WAF 防护**：拦截包含 `eval` 或特殊字符的恶意请求。

🔥 **优先级**：极高 (CVSS 9.8)。 ⚡ **建议**：立即升级至最新版本！ 🚫 **风险**：无需认证即可 RCE，极易被自动化扫描器利用。