集团网站 选择区域/语言

选择区域/语言

搜索历史 清空

安全预警 - 某些华为产品PEM模块中的多个安全漏洞

  • 预警编号：huawei-sa-20171206-01-pem
  • 初始发布时间：2017-12-06
  • 更新发布时间：2018-04-18

某些华为产品PEM模块由于校验不足而存在一个空指针访问安全漏洞。经认证的本地攻击者可以以特定参数调用PEM解码器并导致拒绝服务攻击。 (漏洞编号：HWPSIRT-2017-06047)
此漏洞的CVE编号为: CVE-2017-17135.

某些华为产品PEM模块由于校验不足而存在一个堆溢出安全漏洞。经认证的本地攻击者可以构造恶意证书使相关进程发生异常。攻击者可以利用这个漏洞发起拒绝服务攻击。 (漏洞编号：HWPSIRT-2017-06048)

此漏洞的CVE编号为: CVE-2017-17136.

某些华为产品PEM模块由于校验不足而存在一个内存访问越界安全漏洞。经认证的本地攻击者可以构造恶意证书使相关进程发生异常。攻击者可以利用这个漏洞发起拒绝服务攻击。 (漏洞编号：HWPSIRT-2017-06049)
此漏洞的CVE编号为: CVE-2017-17137.

某些华为产品PEM模块由于校验不足而存在一个拒绝服务安全漏洞。经认证的本地攻击者可以构造恶意证书使相关进程发生死循环。攻击者可以利用这个漏洞发起拒绝服务攻击。 (漏洞编号：HWPSIRT-2017-06050)
此漏洞的CVE编号为: CVE-2017-17138.

华为已发布版本修复该漏洞。安全预警链接：
http://www.huawei.com/cn/psirt/security-advisories/huawei-sa-20171206-01-pem-cn

产品名称

版本号

修复版本号

DP300

V500R002C00

V500R002C00SPCb00

IPS Module

V500R001C00

Upgrade to V500R001C60SPC500 + V500R001SPH015

V500R001C30

NGFW Module

V500R001C00

Upgrade to V500R002C20SPC500 + V500R002SPH015

V500R002C00

NIP6300

V500R001C00

Upgrade to V500R001C60SPC500 + V500R001SPH015

V500R001C30

NIP6600

V500R001C00

Upgrade to V500R001C60SPC500 + V500R001SPH015

V500R001C30

RP200

V500R002C00

Upgrade to V600R006C00SPC400

V600R006C00

V600R006C00SPC400

S12700

V200R007C00

Upgrade to V200R011C10

V200R007C01

V200R008C00

V200R009C00

V200R010C00

S1700

V200R006C10

Upgrade to V200R011C10

V200R009C00

V200R010C00

S2700

V200R006C10

Upgrade to V200R011C10

V200R007C00

V200R008C00

V200R009C00

V200R010C00

S5700

V200R006C00

Upgrade to V200R011C10

V200R007C00

V200R008C00

V200R009C00

V200R010C00

S6700

V200R008C00

Upgrade to V200R011C10

V200R009C00

V200R010C00

S7700

V200R007C00

Upgrade to V200R011C10

V200R008C00

V200R009C00

V200R010C00

S9700

V200R007C00

Upgrade to V200R011C10

V200R007C01

V200R008C00

V200R009C00

V200R010C00

Secospace USG6300

V500R001C00

Upgrade to V500R001C60SPC500 + V500R001SPH015

V500R001C30

Secospace USG6500

V500R001C00

Upgrade to V500R001C60SPC500 + V500R001SPH015

V500R001C30

Secospace USG6600

V500R001C00

Upgrade to V500R001C60SPC500 + V500R001SPH015

V500R001C30S

TE30

V100R001C02

Upgrade to V600R006C00SPC400

V100R001C10

V500R002C00

V600R006C00

V600R006C00SPC400

TE40

V500R002C00

Upgrade to V600R006C00SPC400

V600R006C00

V600R006C00SPC400

TE50

V500R002C00

Upgrade to V600R006C00SPC400

V600R006C00

V600R006C00SPC400

TE60

V100R001C01

Upgrade to V600R006C00SPC400

V100R001C10

V500R002C00

V600R006C00

V600R006C00SPC400

TP3106

V100R002C00

TP3206 V100R002C00SPC800

TP3206

V100R002C00

V100R002C00SPC800

V100R002C10

USG9500

V500R001C00

Upgrade to V500R001C60SPC500 + V500R001SPH015

V500R001C30

ViewPoint 9030

V100R011C02

Upgrade to V100R011C03SPC800

V100R011C03

V100R011C03SPC800


攻击者可以利用这些漏洞发起拒绝服务攻击。
漏洞使用CVSSv3计分系统进行分级（http://www.first.org/cvss/specification-document）
HWPSIRT-2017-06047,HWPSIRT-2017-06048,HWPSIRT-2017-06049和HWPSIRT-2017-06050:

基础得分：5.5 (AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)

临时得分：5.1 (E:F/RL:O/RC:C)

HWPSIRT-2017-06047:
利用漏洞发起攻击的预置条件：
攻击者能以操作用户登录系统。
漏洞详细描述：
某些华为产品PEM模块由于校验不足而存在一个空指针访问安全漏洞。经认证的本地攻击者可以以特定参数调用PEM解码器并导致拒绝服务攻击。

HWPSIRT-2017-06048:
利用漏洞发起攻击的预置条件：
攻击者能在系统中部署证书。
漏洞详细描述：
某些华为产品PEM模块由于校验不足而存在一个堆溢出安全漏洞。经认证的本地攻击者可以构造恶意证书使相关进程发生异常。攻击者可以利用这个漏洞发起拒绝服务攻击。

HWPSIRT-2017-06049:
利用漏洞发起攻击的预置条件：
攻击者能在系统中部署证书。
漏洞详细描述：
某些华为产品PEM模块由于校验不足而存在一个内存访问越界安全漏洞。经认证的本地攻击者可以构造恶意证书使相关进程发生异常。攻击者可以利用这个漏洞发起拒绝服务攻击。

HWPSIRT-2017-06050:
利用漏洞发起攻击的预置条件：
攻击者能在系统中部署证书。
漏洞详细描述：
某些华为产品PEM模块由于校验不足而存在一个拒绝服务安全漏洞。经认证的本地攻击者可以构造恶意证书使相关进程发生死循环。攻击者可以利用这个漏洞发起拒绝服务攻击。

无


用户可以通过华为TAC (Huawei Technical Assistance Center)获取补丁/更新版本。

TAC的联系方式见链接http://www.huawei.com/cn/psirt/report-vulnerabilities。



该漏洞由华为内部测试发现。
2018-04-18 V1.2 UPDATED 刷新受影响产品版本和修复信息;
2018-04-11 V1.1 UPDATED 刷新摘要，漏洞评分和技术细节;
2017-12-06 V1.0 INITIAL

无

华为一贯主张尽全力保障产品用户的最终利益，遵循负责任的安全事件披露原则，并通过产品安全问题处理机制处理产品安全问题。

获取华为公司安全应急响应服务及华为产品漏洞信息，请访问http://www.huawei.com/cn/psirt。
反馈华为产品和解决方案安全问题,请反馈至华为PSIRT邮箱PSIRT@huawei.com，详情参考http://www.huawei.com/cn/psirt/report-vulnerabilities。

本文件按“原样”提供，不承诺任何明示、默示和法定的担保，包括（但不限于）对适销性、适用性及不侵权的担保。 在任何情况下，华为技术有限公司，或其直接或间接控制的子公司，或其供应商，对任何损失，包括直接，间接，偶然，必然的商业利润损失或特殊损失均不承担责任。您以任何方式使用本文件所产生的一切法律责任由您自行承担。华为可以随时对本文件所载的内容和信息进行修改或更新。