集团网站 选择区域/语言

选择区域/语言

搜索历史 清空

    安全预警-多产品存在CSRF漏洞

    • 预警编号：Huawei-SA-20140924-02-CSRF
    • 初始发布时间：2014-09-24
    • 更新发布时间：2014-09-24

    华为多产品发现跨站请求伪造(CSRF)漏洞，包括FusionManager产品(Vulnerability ID: HWPSIRT-2014-0408)和防火墙USG系列产品 (Vulnerability ID: HWPSIRT-2014-0406)。

    存在于设备网页的此类漏洞允许未认证的远程攻击者实施CSRF攻击。成功利用漏洞，攻击者可以对设备进行操作，影响用户正常业务以及实施其它恶意活动。

    漏洞HWPSIRT-2014-0408的CVE编号为: CVE-2014-9136；漏洞HWPSIRT-2014-0406的CVE编号为: CVE-2014-9137。

    成功利用漏洞，攻击者可以对设备进行操作，影响用户正常业务以及实施其它恶意活动。


    漏洞使用CVSSv2计分系统进行分级（http://www.first.org/cvss/）

    HWPSIRT-2014-0408:

    基础得分：6.8 (AV:N/AC:M/Au:N/C:P/I:P/A:P)

    临时得分：5.6 (E:F/RL:O/RC:C)

    HWPSIRT-2014-0406:

    基础得分：6.8 (AV:N/AC:M/Au:N/C:P/I:P/A:P)

    临时得分：5.6 (E:F/RL:O/RC:C)

     

    漏洞利用前提：

    合法用户登录设备。

    漏洞细节：

    漏洞基于不完善的CSRF保护机制。通过诱导已登录用户点击恶意链接，攻击者可以以合法用户的权限向受影响设备提交任意请求。

     

    无


    受影响版本信息和修复信息：

    产品名称

    受影响的版本

    修复版本

    FusionManager

    All V100R002C03 versions

    V100R003C10SPC500

    All V100R003C00 versions

    USG9500

    V200R001C01SPC800 and earlier versions

    V200R001C01SPC900

    All V300R001C00 versions

    V300R001C01SPC300

    USG2100

    V300R001C00SPC900 and earlier versions

    V300R001C10SPC200+SPH201

    USG2200

    V300R001C00SPC900 and earlier versions

    V300R001C10SPC200+SPH201

    USG5100

    V300R001C00SPC900 and earlier versions

    V300R001C10SPC200+SPH201

    USG5500

    V300R001C00SPC900 and earlier versions

    V300R001C10SPC200+SPH201

     


    用户可以通过华为TAC (Huawei Technical Assistance Center) 或华为网站（http://support.huawei.com/enterprise/）获取补丁/更新版本。

    TAC的联系方式见链接： http://www.huawei.com/cn/security/psirt/report-vulnerabilities/index.htm.




    该漏洞由华为工程师发现。华为应急响应团队并没有知悉该公告所描述的对该漏洞的任何公开声明或者恶意使用。

    对于华为产品和解决方案的安全问题，请通过PSIRT@huawei.com联系华为PSIRT。

    对于通用的华为产品和解决方案的问题，直接联系华为TAC(Huawei Technical Assistance Center)获取相关问题的配置或技术协助


    2014-09-24 V1.0 INITIAL

     

    无


    本文件按“原样”提供，不承诺任何明示、默示和法定的担保，包括（但不限于）对适销性、适用性及不侵权的担保。 在任何情况下，华为技术有限公司，或其直接或间接控制的子公司，或其供应商，对任何损失，包括直接，间接，偶然，必然的商业利润损失或特殊损失均不承担责任。您以任何方式使用本文件所产生的一切法律责任由您自行承担。华为可以随时对本文件所载的内容和信息进行修改或更新。


    如果您要反馈华为产品的漏洞信息、获取华为公司安全应急响应服务及获取华为产品漏洞信息，请通过以下链接获取帮助：

    http://www.huawei.com/cn/security/psirt。