CVE-2024-48845 — 神龙十问 AI 深度分析摘要

🚨 **本质**：ABB ASPECT 存在**弱密码重置规则**漏洞。 🔥 **后果**：攻击者可轻易重置管理员密码，导致**系统控制权旁落**，严重威胁建筑能源管理安全。

🛡️ **CWE**：CWE-521（弱密码）。 🔍 **缺陷点**：密码重置机制设计不当，缺乏足够的复杂度要求或验证强度，属于**身份认证缺陷**。

🏢 **厂商**：ABB（瑞士）。 📦 **产品**：ASPECT-Enterprise。 🏗️ **场景**：可扩展建筑能源管理和控制解决方案。

👮 **权限**：获取**高权限**（管理员级）访问权。 📊 **数据**：可完全控制建筑能源系统，可能导致**机密性（C:H）**和**完整性（I:H）**丧失。

🚪 **门槛**：**极低**。 🔑 **条件**：无需认证（PR:N）、无需用户交互（UI:N）、网络可访问（AV:N）即可利用。

📦 **Exp/PoC**：当前数据中**无现成 PoC**（pocs: []）。 🌍 **在野利用**：暂无明确在野利用报告，但利用逻辑简单，风险极高。

🔍 **自查**：检查 ASPECT 系统的**密码重置策略**。 📝 **特征**：确认是否允许简单密码重置、是否有强制复杂度规则、重置令牌是否易被猜测。

🩹 **官方修复**：参考链接指向 ABB 官方文档（9AKK108469A7497）。 ⚠️ **状态**：需查阅该文档获取具体**补丁版本**或配置建议，数据未直接提供补丁号。

🛡️ **临时规避**： 1. 强制实施**强密码策略**。 2. 限制密码重置功能的**网络访问**。 3. 启用多因素认证（MFA）增强身份验证。

🔥 **优先级**：**紧急**。 📈 **CVSS**：3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L（高危）。 💡 **建议**：立即审查密码重置逻辑，优先应用官方缓解措施。