CVE-2024-4701 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Netflix Genie 存在**路径遍历漏洞**。🔥 **后果**：攻击者可利用此漏洞实现**远程代码执行 (RCE)**，彻底控制目标系统。

🛡️ **CWE**：CWE-22 (路径遍历)。🔍 **缺陷点**：应用未正确验证用户输入的文件路径，允许通过 `../` 等序列访问受限目录，导致非法文件上传或执行。

🏢 **厂商**：Netflix。📦 **产品**：Genie（联合大数据编排和执行引擎）。⚠️ **版本**：**4.3.18 之前**的所有版本均受影响。

💀 **权限**：攻击者可获得**远程代码执行**权限。📂 **数据**：可读取/修改系统任意文件，甚至完全接管服务器控制权，造成严重数据泄露或服务中断。

🔑 **认证**：需要 **Low Privilege (PR:L)**，即需要低权限账户。🌐 **网络**：网络可访问 (AV:N)。🚫 **UI**：无需用户交互 (UI:N)。门槛中等，需具备基础访问权限。

📜 **PoC**：有现成利用代码。GitHub 上已有多个 POC 仓库（如 JoeBeeton/CVE-2024-4701-POC），包含通过 Docker 环境复现和触发 RCE 的具体步骤。

🔍 **自查**：检查 Genie 版本是否 < 4.3.18。📡 **扫描**：针对 Genie 服务接口进行路径遍历测试，观察是否返回非预期的系统文件或触发异常执行。

🛠️ **补丁**：官方已发布安全公告 (nflx-2024-001)。✅ **修复**：升级至 **Genie 4.3.18 或更高版本**即可修复此漏洞。

🚧 **临时规避**：若无法立即升级，建议**限制 Genie 服务的网络访问**，仅允许受信任 IP 访问；严格配置**最小权限原则**，隔离运行环境，防止路径遍历导致横向移动。

🔥 **优先级**：**高 (High)**。CVSS 评分高，具备远程执行代码能力，且已有公开 PoC。建议立即评估版本并安排升级，避免被自动化攻击利用。