技嘉修補Control Center任意檔案寫入漏洞
一句話版本
技嘉已修補 GIGABYTE Control Center 一個高風險任意檔案寫入漏洞，因為呢類管理工具一旦畀人利用，後果通常唔止程式出錯，而係可能直接變成提權同遠端控制入口。
點解重要
- 漏洞性質唔係小修小補
- 這次是相對路徑穿越導致的任意檔案寫入，代表攻擊者唔一定要先攞到完整控制權，都有機會先落手改系統上關鍵檔案，之後再擴大影響；對我哋嚟講，呢種漏洞比一般資訊外洩更接近「可被拿來做後續攻擊鏈」的起點。
- 影響範圍直指底層作業系統
- 公告提到可在底層作業系統任何地方寫檔，意思係風險唔只限於應用程式自己資料夾；一旦涉及系統路徑、啟動項、設定檔或者腳本，實務上就好容易演變成持久化、提權或者破壞服務。
- 風險高係有原因
- CVSS 8.1 唔只係數字高，而係反映利用後可能導致任意程式碼執行、權限提升同阻斷服務；即係話，呢個漏洞同時具備「可入侵」同「可中斷營運」兩種壓力，對營運穩定性同資安都係雙重威脅。
- 問題出喺輸入驗證不足
- 根因係處理檔案時驗證唔夠，呢點值得留意，因為它通常唔係單一函式失手咁簡單，而係產品設計上對路徑、檔名、來源訊息信任過多；對我哋而言，呢類缺陷容易在其他檔案處理流程重複出現。
- 漏洞只要配對功能啟用就有條件被打
- 呢個條件意味住唔係所有安裝用戶風險完全一樣，但亦提醒我哋，功能開關本身就係攻擊面管理的一部分；平時如果有類似「配對」「同步」「遠端管理」功能，應視為額外暴露面，而唔係純便利功能。
- 受影響版本跨度大
- 25.07.21.01 及以前版本都受影響，反映問題未必係近期引入，可能已存在一段時間；這對資產盤點有直接意義，因為現場設備未必會主動顯示自己落後咗幾多，唔盤點就容易漏。
- 修補內容透露技嘉認為風險唔只一層
- 新版加入下載路徑管理、訊息處理、指令加密，表示廠商唔係單補一個判斷邏輯，而係同時收緊多個相關處理面；這通常代表漏洞利用鏈可能牽涉多個元件交互，而唔係單點錯誤。
- 管理平臺本身值得更高優先級更新
- GCC 呢類集中管理工具通常權限較高、接觸硬體與系統層較深，更新優先級應高過一般終端應用；原因係一個管理工具失守，往往比普通桌面軟體更容易變成橫向攻擊踏板。
- 廠商已明確叫用戶立即更新
- 呢種措辭通常代表供應商判斷實際風險唔低，唔適合拖到例行維護窗口先處理；對我哋來講，凡係廠商主動強烈建議即時升級，應至少觸發一次快速風險評估，而唔係照常排隊。
我哋點睇
- 如果團隊內有用技嘉主機板或相關設備，應先確認有冇安裝 GCC，同步盤點版本；重點唔係「有冇見到異常」，而係先判斷自己係唔係暴露面之內。
- 呢單新聞提醒我哋，所有「本機管理工具」都應當列入高風險軟體清單，補丁策略唔好只盯住作業系統同瀏覽器。
- 對 OpenClaw 呢類本機控制系統而言，任何會寫檔、收指令、處理路徑嘅元件都要特別避開「信任輸入再拼路徑」呢種模式；設計上要用明確允許清單同固定工作目錄，唔好靠事後過濾。
- 如果我哋之後寫公開指南，值得順手提醒操作者：營運主機應盡量減少安裝廠商附帶管理工具，因為這些工具常常權限高、更新節奏又未必受我哋控制。