CVE-2026-7415 — 神龙十问 AI 深度分析摘要

🚨 **本质**：MQTT代理配置严重缺失，允许匿名连接且无ACL控制。 📉 **后果**：同一局域网内任何人可**无认证**订阅遥测数据或发送控制指令，导致**数据泄露**与**设备失控**。

🔍 **CWE-306**：缺少对关键输入/状态的验证。 🛠 **缺陷点**：MQTT代理未设置**读写访问控制列表 (ACL)**，且默认开启**匿名连接**权限。

🤖 **厂商**：Yarbo 📦 **产品**：机器人固件 📌 **版本**：v2.3.9（及可能受影响的早期版本）

🕵️ **数据窃取**：订阅敏感**遥测数据主题**。 🎮 **恶意控制**：直接向机器人发布**控制消息**，可能引发物理损坏或行为异常。

📉 **门槛极低**： ✅ **无需认证**：允许匿名连接。 ✅ **无需授权**：无ACL限制。 ✅ **网络要求**：仅需处于**同一网络**即可利用。

🚫 **无公开Exp**：漏洞数据中 `pocs` 字段为空。 🔗 **参考链接**：存在第三方 advisory 和 GitHub 仓库（`yarbo-nat-in-my-back-yard`），但暂无明确 PoC 代码。

🔍 **自查方法**： 1. 扫描 MQTT 端口（默认1883/8883）。 2. 尝试**匿名连接**。 3. 尝试订阅常见遥测主题（如 `/telemetry`）。 4. 检查 MQTT Broker 配置是否启用 **ACL** 和 **认证**。

🛡️ **官方状态**：数据未提供具体补丁链接。 ⚠️ **建议**：查阅 Yarbo 官方安全公告，或联系厂商获取固件更新。参考链接指向第三方报告，需确认厂商响应。

🛡️ **临时规避**： 1. **网络隔离**：将机器人置于**独立 VLAN**，限制外部访问。 2. **防火墙规则**：阻断非授权主机对 MQTT 端口的访问。 3. **配置修改**：若可访问固件，强制启用**用户名/密码认证**并配置**ACL**。

🔥 **优先级：高** 📊 **CVSS 3.1**：9.1 (Critical) 📝 **理由**：攻击向量网络可达、攻击复杂度低、无需用户交互、影响完整性/机密性/可用性均为高。建议**立即隔离**并寻求修复。