漏洞风险提示｜H3C多系列设备远程命令执行漏洞

该远程命令执行漏洞是由设备Web控制台某接口存在的逻辑漏洞造成的。凭借此处漏洞即可获取到设备的终端完全控制权限（ROOT 权限）。经验证，存在被更换网络配置信息和固件版本、劫持网络流量的风险，甚至可被进一步作为入侵内网的入口。

利用特殊的 POST 请求访问设备，可以泄漏设备敏感信息，即攻击者可以通过该途径绕过安全认证获取设备的敏感信息（比如：设备配置信息、管理密码信息、ROOT 权限等）。

• 方案一：关闭<远程 WEB 管理>和<远程 TELNET 管理>功能

• 方案二：升级到最新版本解决

ERHMG2-MNW100-R1122 及之后版本

ERG2AW-MNW100-R1113及之后版本

MiniGR1B0V100R014及之后版本

<在线升级方法> 

ER 产品：

登录设备 WEB 页面－》设备管理－》基本管理－》软件升级－》远程升级-》点击<升级>，按页面提示操作完成升级。

GR 产品：

登录设备 WEB 页面－》设备管理‍－》‍基本管理－》软件升级－》点击<版本检测>，待检测到新版本后，点击<在线升级>，按页面提示操作完成升级。

<本地升级方法> 

H3C 官网下载软件到本地 PC－》登录设备 WEB 页面－》设备管理－》基本管理－》软件升级－》本地升级－》<选择文件>选择本地软件下载路径－》点击<升级>，按页面提示操作完成升级。

ER 产品：

ER 产品官网软件下载链接：

https://www.h3c.com/cn/Service/Document_Software/Software_Download/Router/

GR 产品：

GR 产品官网软件下载链接：

https://www.h3c.com/cn/Service/Document_Software/Software_Download/Consume_product/

· END ·