CVE-2025-36535 — 神龙十问 AI 深度分析摘要

🚨 **本质**：嵌入式Web服务器缺乏身份验证和访问控制。 🔥 **后果**：攻击者可进行**配置更改**或**任意代码执行**，彻底接管设备。

🛡️ **CWE**：CWE-306 (缺少身份验证)。 🔍 **缺陷点**：Web管理界面**未启用认证**，且无访问控制列表保护。

📦 **厂商**：AutomationDirect。 🔧 **产品**：**MB-Gateway** (单端口 Modbus 网关模块，型号如 EKI-1221-CE)。

💀 **权限**：无需认证即可获取**高权限**。 📂 **数据**：可修改网关配置，甚至执行**任意代码**，导致服务完全失控。

🚪 **门槛**：**极低**。 🔑 **条件**：**无需认证** (PR:N)，网络可达即可利用 (AV:N, AC:L)。

📜 **Exp**：当前**无公开 PoC** (pocs为空)。 🌍 **在野**：暂无在野利用报告，但风险极高。

🔍 **自查**：扫描目标设备的 **Web管理端口**。 👀 **特征**：直接访问管理页面**无需登录**即可看到配置选项。

🛠️ **补丁**：数据中**未提及**具体补丁链接。 📢 **建议**：参考 CISA advisories (ICSA-25-140-09) 获取最新修复指南。

🚧 **临时规避**： 1. **网络隔离**：将网关置于**受信任VLAN**，禁止公网访问。 2. **防火墙**：限制仅允许特定IP访问Web管理接口。

⚠️ **优先级**：**紧急**。 📈 **CVSS**：9.8 (Critical)。 💡 **见解**：无需认证即可RCE，属于**高危漏洞**，需立即采取网络隔离措施。