JAWS10的公开公开漏洞库在2024年11月突然多了一条高危记录，编号CVE-2024-48765。漏洞这个漏洞藏在它的监控Web管理接口里，攻击者只需要发送一段特制的公开HTTP请求，就能绕过身份验证直接读取服务器上的漏洞敏感文件。我测试的监控时候，只用了三行Python代码就拿到了/etc/passwd的公开内容，整个过程不到五秒。漏洞

这玩意儿不是监控新出的产品。JAWS10是公开很多中小型企业还在用的老旧仓储管理系统，2018年之后就停止了大版本更新，漏洞厂商只做安全补丁维护。监控但问题在于，公开公开漏洞的漏洞PoC（概念验证代码）已经被放到了GitHub上，任何人都能下载。监控我查了一下仓库的fork数量，两周内就翻了四倍——这说明已经有攻击者在批量研究这个漏洞的利用方式。

更麻烦的是，JAWS10的默认安装路径里有一个日志文件，记录了所有管理员的登录IP和操作时间。这个文件权限设置不当，普通用户也能读取。结合CVE-2024-48765，攻击者可以先把日志拖走，分析管理员的活动规律，再挑一个管理员不在线的时间段发起攻击。整个攻击链条非常清晰，就像有人给你画好了地图，你只需要照着走。

我实际搭了一个测试环境验证。用Shodan搜索互联网上暴露的JAWS10实例，结果有超过两千台设备直接暴露在公网，大部分在美国和欧洲。这些设备的指纹特征很明显——响应头里带有特定的Server字段，而且登录页面的标题是固定的"JAWS10 Management Console"。攻击者根本不需要扫描，只要用Fofa或者ZoomEye这类搜索引擎，输入"title:JAWS10"就能批量获取目标。

厂商在漏洞公开后的第五天发布了紧急补丁，但问题是很多企业没有自动更新机制。我联系了几家使用JAWS10的物流公司，他们的IT负责人要么不知道这个漏洞，要么觉得"系统已经运行多年，不会有人专门针对它"。这种侥幸心理最危险。实际上，我在测试中尝试了三种不同的攻击路径，全部成功，包括利用路径穿越漏洞读取数据库配置文件，以及通过注入恶意参数触发命令执行。

有个细节值得注意：这个漏洞的触发条件非常宽松，不需要特殊权限，也不需要用户交互。只要目标系统开放了8080端口，攻击者就能直接利用。我写了个简单的扫描脚本，在本地网络跑了一圈，发现有三台设备存在漏洞，其中一台还是医院的仓储系统——那里面存着药品和医疗耗材的库存数据。如果被勒索软件盯上，后果不堪设想。

我的建议是，所有还在用JAWS10的单位，别等厂商的补丁了，先把管理接口的访问权限收紧到内网，再设置防火墙规则，只允许特定IP访问。如果业务允许，最好直接升级到替代方案。这个漏洞只是冰山一角，老系统的代码质量普遍堪忧，类似的隐藏问题肯定还有。安全这事，不能靠运气。

(责任编辑：综合)