AK科技官方安全漏洞通报

概述

AK科技在内部安全审计与第三方安全研究团队协作下，确认并修复了影响公司若干产品的安全漏洞。该漏洞允许经过身份验证或部分未授权的远程攻击者在特定条件下执行未授权操作或造成信息泄露。为保障用户安全，我们已发布修复补丁并建议相关用户立即采取应急处置措施。

受影响范围

- AK云平台管理控制台：版本 ≤ 3.4.7

- AK IoT 网关固件：版本 2.1.0 — 2.2.3

- AK移动APP后端API：部分旧部署环境（通过本通报页面查询识别方法）

已发布的安全修复到位版本：

- AK云平台管理控制台：升级至 3.4.8 及以上

- AK IoT 网关固件：升级至 2.2.4 及以上

- AK移动APP后端API：请参照企业运维门户补丁说明并升级至最新补丁包

漏洞等级与编号

- 内部编号：AK-SEC-2026-001

- 评估等级：高危（建议 CVSS v3.1 评分 8.6，具体评分基于认证与环境而异）

技术描述（概述，不含可用于滥用的细节）

该漏洞属于输入校验与访问控制缺陷的组合，攻击者可在满足特定条件时构造异常请求，触发服务端不当处理流程，导致敏感信息泄露或越权操作。漏洞链可能涉及多个模块交互，单一防护措施不足以完全阻断全部利用路径。

风险与影响

- 敏感配置或凭据被未授权访问或外泄

- 远程执行管理类操作（视部署与权限而定）

- 设备/服务可用性下降或异常行为（少数场景下）

临时缓解建议（在未立刻完成升级前采取）

1. 优先在受影响系统上部署最新补丁；若无法立即升级，请按下列顺序实施缓解措施。

2. 限制管理接口访问：将管理控制台与后端API仅放行至可信IP/子网或通过内网访问。

3. 启用并严格配置多因素认证（MFA），尤其是管理员账户。

4. 暂时关闭或隔离 IoT 网关的公网管理端口，采用反向代理或跳板主机访问。

5. 对关键凭证进行强制更换（尤其是在可疑访问窗口期内的管理员与服务账户）。

6. 在 WAF/IDS 中加入基于时间窗的防护策略，阻断异常请求模式（如高频、异常参数长度等）。

检测与响应建议

- 检查管理控制台、API 与设备日志中是否存在异常访问记录、异常参数或错误堆栈信息。重点关注发生在漏洞披露前后（建议检查最近 30 天）的未授权尝试。

- 监控异常的配置变更、凭证使用与会话来源IP的突变。

- 若发现疑似入侵痕迹，立即隔离受影响设备或服务并保存日志证据，避免重启或覆盖日志。

- 联系 AK科技安全响应团队获取协助（见下方联系方式）。

补丁与更新

- 请通过公司发布渠道下载或自动更新到上述修复版本。补丁发布包括修复说明与升级步骤，升级过程中请先在测试环境验证兼容性。

- 升级完成后，验证版本号及核心功能正常，并按建议步骤更换关键凭证与重启服务。

通报时间线

- 发现与初步验证：2026-06-05

- 通知与协调第三方研究团队：2026-06-06

- 补丁开发与内部测试：2026-06-06 至 2026-06-14

- 补丁发布与漏洞通报：2026-06-15

致谢与联系方式

我们感谢发现该问题的安全研究者与合作伙伴对漏洞的负责披露。若企业用户在升级或事件响应过程中需要协助，请通过以下方式联系 AK科技安全响应中心（ASRT）：

- 邮箱：security@aktech.example.com

- 紧急电话：+86-400-XXX-XXXX（工作时间 9:00 — 18:00）

- 企业客户可通过运维门户提交工单，优先级将按安全等级加急处理。

声明

本通报旨在告知受影响用户、提供修复与缓解建议，并帮助客户尽快恢复安全状态。为避免被滥用，本通报不包含利用细节或可直接复现的攻击步骤。用户在执行升级与应急操作时请遵循公司内部变更管理流程并备份关键数据。

AK科技安全团队

2026年6月15日