CVE-2025-3365 — 神龙十问 AI 深度分析摘要

更新日 2026-05-06CVSS 9.8 · Critical

本页是神龙十问 AI 深度分析的摘要版。完整版（更长回答、追问、相关漏洞）需登录查看 →

Q1这个漏洞是什么？（本质+后果）

🚨 **本质**：B. Braun onlinesuite 存在**路径遍历漏洞**。 🔥 **后果**：攻击者可绕过限制，**任意访问服务器文件**，导致严重数据泄露或系统破坏。

🔍 **CWE**：CWE-23（路径遍历）。 🛠️ **缺陷点**：应用**缺少路径遍历保护**机制，未对用户输入的路径进行严格校验。

🏥 **厂商**：B. Braun Melsungen AG（德国贝朗）。 💻 **产品**：OnlineSuite（医疗数字化管理平台）。

👮 **权限**：无需认证（PR:N），攻击者可直接利用。 📂 **数据**：CVSS评分极高（C:H/I:H/A:H），可**完全读取、修改或删除任意文件**，甚至控制服务器。

📉 **门槛**：**极低**。 🔓 **条件**：网络可访问（AV:N）、攻击复杂度低（AC:L）、无需用户交互（UI:N）。

📦 **Exp**：当前数据中 **PoC 列表为空**。 ⚠️ **现状**：暂无公开在野利用报告，但鉴于漏洞本质，**利用代码极易编写**。

🔎 **自查**：扫描目标是否响应包含 `../` 或 `..\` 的路径请求。 📡 **特征**：检查返回内容是否包含非预期的本地文件内容（如 `/etc/passwd` 或系统配置文件）。

🛡️ **官方**：已发布安全公告。 🔗 **链接**：访问 [B. Braun Product Security](https://www.bbraun.com/productsecurity) 获取最新补丁或更新指南。

🚧 **临时规避**： 1. 配置 **WAF** 拦截包含 `../` 的请求。 2. 限制应用服务器对敏感目录的**文件系统访问权限**。 3. 启用**输入验证**，过滤特殊字符。

🔥 **优先级**：**紧急 (Critical)**。 💡 **建议**：CVSS 满分风险，建议**立即**应用官方补丁或实施临时缓解措施，防止被自动化脚本扫描利用。