漏洞风险提示
该远程命令执行漏洞是由设备Web控制台某接口存在的逻辑漏洞造成的。凭借此处漏洞即可获取到设备的终端完全控制权限(ROOT 权限)。经验证,存在被更换网络配置信息和固件版本、劫持网络流量的风险,甚至可被进一步作为入侵内网的入口。
利用特殊的 POST 请求访问设备,可以泄漏设备敏感信息,即攻击者可以通过该途径绕过安全认证获取设备的敏感信息(比如:设备配置信息、管理密码信息、ROOT 权限等)。
-
方案一:关闭<远程 WEB 管理>和<远程 TELNET 管理>功能
-
方案二:升级到最新版本解决
ERHMG2-MNW100-R1122 及之后版本
ERG2AW-MNW100-R1113及之后版本
MiniGR1B0V100R014及之后版本
<在线升级方法>
ER 产品:
登录设备 WEB 页面-》设备管理-》基本管理-》软件升级-》远程升级-》点击<升级>,按页面提示操作完成升级。
GR 产品:
登录设备 WEB 页面-》设备管理-》 基本管理-》软件升级-》点击<版本检测>,待检测到新版本后,点击<在线升级>,按页面提示操作完成升级。
<本地升级方法>
H3C 官网下载软件到本地 PC-》登录设备 WEB 页面-》设备管理-》基本管理-》软件升级-》本地升级-》<选择文件>选择本地软件下载路径-》点击<升级>,按页面提示操作完成升级。
ER 产品:
ER 产品官网软件下载链接:
https://www.h3c.com/cn/Service/Document_Software/Software_Download/Router/
GR 产品:
GR 产品官网软件下载链接:
https://www.h3c.com/cn/Service/Document_Software/Software_Download/Consume_product/
· END ·
免费试用请联系
原文始发于微信公众号(边界无限):漏洞风险提示|H3C多系列设备远程命令执行漏洞
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论