CVE-2025-47855 — 神龙十问 AI 深度分析摘要

🚨 **本质**：特制 HTTP/HTTPS 请求导致配置泄露。 🔥 **后果**：设备配置信息暴露，敏感数据丢失。

🔍 **CWE**：CWE-200（信息泄露）。 🐛 **缺陷**：未正确限制对设备配置数据的访问权限。

🏢 **厂商**：Fortinet（飞塔）。 📱 **产品**：FortiFone IP电话。 📅 **版本**：7.0.0-7.0.1 或 3.0.13-3.0.23。

💻 **权限**：无需认证（PR:N）。 📂 **数据**：完整设备配置泄露（C:H, I:H, A:H）。

🚪 **门槛**：极低。 ⚙️ **条件**：网络可达即可，无需用户交互，无需认证。

🧪 **Exp**：数据中未提供 PoC 或现成利用代码。 🌍 **在野**：暂无公开在野利用报告。

🔎 **自查**：扫描目标端口，发送特制 HTTP/HTTPS 请求。 📊 **特征**：观察响应中是否包含设备配置敏感字段。

🛡️ **官方**：已发布 PSIRT 公告（FG-IR-25-260）。 🔧 **修复**：建议升级至安全版本或应用官方补丁。

⚠️ **规避**：限制管理接口访问权限。 🚫 **策略**：仅允许受信任 IP 访问 FortiFone 管理端口。

🔥 **优先级**：高。 📈 **理由**：CVSS 满分风险（H/H/H），无认证即可利用，配置泄露危害大。