CVE-2025-50989 — 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Bridge Interface Edit 端点的 `span` 参数处理不当。 💥 **后果**：导致 **命令注入 (Command Injection)**，攻击者可执行任意系统命令。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-78 (OS Command Injection)。 📍 **缺陷点**：输入验证缺失，未对 `span` 参数进行严格的过滤或转义。
Q3影响谁？（版本/组件）
🏢 **厂商**：OPNsense (Deciso)。 📦 **版本**：**OPNsense 25.1**。 🧩 **组件**：Bridge Interface Edit 功能模块。
Q4黑客能干啥？（权限/数据）
🔓 **权限**：高权限（CVSS A:H, I:H, C:H）。 📊 **影响**：可完全控制目标系统，读取敏感数据、修改配置或建立持久化后门。
Q5利用门槛高吗？（认证/配置）
🔑 **门槛**：中等。 ⚠️ **要求**：需要 **PR:H (High Privileges)**，即攻击者需具备管理员或特定网络权限才能触发。
Q6有现成Exp吗？（PoC/在野利用）
📜 **PoC**：有公开 Proof of Concept。 🔗 **来源**：GitHub (4rdr/proofs) 已发布利用方法，但暂无明确在野大规模利用报告。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查 OPNsense 版本是否为 **25.1**。 🛠️ **扫描**：关注 Bridge Interface 编辑接口的 `span` 参数是否存在特殊字符注入迹象。
Q8官方修了吗？（补丁/缓解）
🛡️ **状态**：官方已发布安全公告。 📝 **链接**：OPNsense 25.1.8 社区更新日志中提及此修复。
Q9没补丁咋办？（临时规避）
⏳ **临时规避**：若无补丁，限制对 Bridge Interface 编辑功能的访问权限。 🚫 **最小化**：仅允许受信任的管理员IP访问该管理界面。
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。 💡 **建议**：CVSS 评分极高（全高），且 PoC 已公开，建议 **立即升级** 至修复版本。