CVE-2024-8456 — 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：PLANET交换机固件上传/下载功能**缺乏访问控制**。 💥 **后果**：攻击者可**完全控制**设备，上传恶意固件或窃取配置。
Q2根本原因？（CWE/缺陷点）
🛡️ **CWE-306**：缺少**身份验证**的访问控制。 🔍 **缺陷点**：固件上传与下载接口**未校验权限**，直接暴露。
Q3影响谁？（版本/组件）
📦 **厂商**：PLANET Technology。 🖥️ **产品**：GS-4210-24PL4C hardware 2.0 系列交换机。
Q4黑客能干啥？（权限/数据）
🔓 **权限**：无需认证，直接获取**完全控制权**。 📂 **数据**：可**上传**任意固件，**下载**敏感系统配置。
Q5利用门槛高吗？（认证/配置）
📉 **门槛极低**： ✅ **无需认证** (PR:N) ✅ **远程利用** (AV:N) ✅ **无需交互** (UI:N)
Q6有现成Exp吗？（PoC/在野利用）
🚫 **无现成Exp**：数据中 `pocs` 为空，暂无公开PoC。 ⚠️ **在野利用**：未知，但CVSS 9.8分，风险极高。
Q7怎么自查？（特征/扫描）
🔍 **自查方法**： 1. 扫描GS-4210-24PL4C设备。 2. 测试固件上传/下载接口是否**无需登录**即可访问。
Q8官方修了吗？（补丁/缓解）
📅 **发布时间**：2024-09-30。 🔗 **参考**：TW-CERT已发布 advisories，建议查阅官方链接获取补丁。
Q9没补丁咋办？（临时规避）
🛡️ **临时规避**： 1. **关闭**固件上传/下载管理端口。 2. 限制管理界面**仅内网访问**。 3. 启用**强认证**（若支持）。
Q10急不急？（优先级建议）
🔥 **优先级：极高 (Critical)**。 ⚡ **CVSS 9.8**，远程无认证即可接管设备，建议**立即**排查并更新。