CVE-2024-49360 — 神龙十问 AI 深度分析摘要
CVSS 9.2 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Sandboxie 存在**路径遍历漏洞**（CWE-22）。<br>🔥 **后果**：攻击者可**越权读取**其他用户在沙盒内创建的文件，导致**数据泄露**和**完整性破坏**。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-22（路径遍历）。<br>🐛 **缺陷点**：权限检查逻辑缺陷。即使经过身份验证且**无特定权限**，用户仍能访问 `C:\Sandbox\User\Bxxx` 下属于**其他用户**的沙盒文件夹。
Q3影响谁？（版本/组件）
📦 **厂商**：sandboxie-plus。<br>💻 **产品**：Sandboxie（基于沙盒的隔离软件）。<br>📅 **发布时间**：2024-11-29。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：<br>1. **读取**：获取其他用户沙盒中的**所有文件**。<br>2. **权限**：无需额外权限，利用**身份验证后**的低权限账户即可。<br>3. **影响**：高机密性（C:H）、高完整性（I:H）影响。
Q5利用门槛高吗？（认证/配置）
⚠️ **门槛**：**中等偏低**。<br>✅ **认证**：需要**经过身份验证**的用户账户。<br>🚫 **权限**：攻击者本身**没有权限**访问目标文件，但漏洞绕过了此限制。<br>🖱️ **交互**：无需用户交互（UI:N）。
Q6有现成Exp吗？（PoC/在野利用）
📜 **PoC**：漏洞数据中 `pocs` 字段为空，暂无公开代码。<br>🌍 **在野**：未提及在野利用。<br>🔗 **参考**：[GitHub 安全公告](https://github.com/sandboxie-plus/Sandboxie/security/advisories/GHSA-4chj-3c28-gvmp)。
Q7怎么自查？（特征/扫描）
🔎 **自查特征**：<br>1. 检查是否运行 **Sandboxie** 或 **sandboxie-plus**。<br>2. 验证沙盒目录 `C:\Sandbox\User\Bxxx` 的**文件权限设置**。<br>3. 模拟低权限用户尝试访问其他用户沙盒文件。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：已发布安全公告（GHSA-4chj-3c28-gvmp）。<br>💡 **建议**：立即前往 GitHub 或官网下载**最新版本**以修复此路径遍历缺陷。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：<br>1. **升级**：尽快更新至修复版本。<br>2. **隔离**：确保不同用户账户的沙盒数据严格隔离。<br>3. **监控**：监控对 `C:\Sandbox\User\` 目录的异常读取行为。
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。<br>📊 **CVSS**：3.1 评分，向量显示**本地攻击**、**低复杂度**、**无权限要求**、**影响范围大**（C:H, I:H）。<br>⚡ **行动**：立即修补，防止敏感数据泄露。