集团网站 选择区域/语言

选择区域/语言

搜索历史 清空

    安全预警-华为产品中的SSLv3 POODLE安全漏洞

    • 预警编号：Huawei-SA-20141215-01-POODLE
    • 初始发布时间：2014-12-15
    • 更新发布时间：2015-05-05

    某些支持SSLv3协议的华为产品中存在被称为Padding Oracle On Downgraded Legacy Encryption (POODLE)的安全漏洞。攻击者可以发起中间人攻击，干扰TLS协商过程，导致通信双方使用存在泄密风险的SSLv3协议互联(漏洞编号:HWPSIRT-2014-1041)。

    此漏洞的CVE编号为：CVE-2014-3566。

    产品名称

    版本号

    修复产品版本号

    AC6005

    V200R003C00
    V200R005C00

    V200R005C10

    AC6605

    V200R001C00
    V200R002C00
    V200R003C00
    V200R005C00

    V200R005C10

    ACU2

    V200R005C00

    V200R005C10

    AP3010DN-AGN-FAT/ AP5010DN-AGN-FAT/

    AP5010SN-GN-FAT/ AP6010DN-AGN-FAT/ AP6010SN-GN-FAT/ AP6510DN-AGN-FAT/ AP6610DN-AGN-FAT

    V200R003C00
    V200R005C00

    V200R005C10

    AP5030DN-FAT/ AP5130DN-FAT/ AP7110DN-AGN-FAT

    V200R005C00

    V200R005C10

    AR3200

    V200R005C30

    Upgrade to V200R005C32B190

    V200R005C32

    V200R005C32B190

    BH620 V2

    V100R002C00

    V100R002C00SPC300

    BH622 V2

    V100R002C00

    V100R002C00SPC300

    CH121/ CH220/ CH221/ CH240/ CH242

    V100R001C00

    V100R001C00SPC200

    CH140/ CH242 V3

    V100R001C00

    V100R001C00SPC130

    CH222

    V100R002C00

    V100R002C00SPC200

    E6000 Chassis

    V100R001C00

    V100R001C00SPC300

    E9000 Chassis

    V100R001C00

    V100R001C00SPC201

    eSight Network

    V200R003C10

    Upgrade to  V200R005C00SPC504

    V200R005C00

    V200R005C00SPC504

    eSight UC&C

    V100R001C01

    Upgrade to V100R001C20SPC307

    V100R001C20

    V100R001C20SPC307

    V100R002C00

    eSight Solution V300R002C00SPC301

    eSpace Agent Desktop

    V200R001C03

    Upgrade to eSpace CC V200R001C03SPC206B01f

    eSpace ECS

    V200R002C00

    V200R002C00SPC202

    eSpace U2980

    V100R001C01
    V100R001C02SPC200

    Upgrade to V100R001C10SPC105

    eSpace USM

    V100R001C01

    Upgrade to V100R001C10SPC105

    V100R001 C10

    V100R001C10SPC105

    ManageOne SC

    V100R002C20

    Suse Patch (i585)

    Suse Patch (x86_64)

    Suse Patch (s390x)

    ManageOne

    V100R002C00/ C10/ C20

    Suse Patch (i585)

    Suse Patch (x86_64)

    Suse Patch (s390x)

    OceanStor ReplicationDirector

    V100R002C10

    Upgrade to V100R003C00SPC400

    V100R003C00

    V100R003C00SPC400

    RH2288 V2

    V100R002C00

    V100R002C00SPC300

    RH5885 V3

    V100R003C00/ C01

    V100R003C00SPC105

    S12700

    V200R005C00

    V200R005SPH003

    V200R006C00

    V200R006SPH002

    S2300/2700/3300/3700

    V100R006C05

    V100R006SPH020

    V100R006C03

    V100R006C00

    S5300/5700/6300/6700

    V200R001C00

    V200R001SPH018

    V200R003C00

    V200R003SPH011

    V200R005C00

    V200R005SPH003

    S5300/5700

    V200R006C00

    V200R006SPH003

    S9300/9300E/7700/9700

    V100R006C00

    Upgrade to V200R003C00SPC300 and V200R003SPH010

    V200R001C00

    V200R001SPH022

    V200R003C00

    V200R03SPH010

    V200R005C00

    V200R005SPH003

    V200R006C00

    V200R006SPH002

    攻击者通过利用漏洞，可以解密在加密信道中传输的信息。

    漏洞使用CVSSv2计分系统进行分级（http://www.first.org/cvss/）

    基础得分：4.3 (AV:N/AC:M/Au:N/C:P/I:N/A:N)

    临时得分：3.6 (E:F/RL:O/RC:C)

    1. 前提条件：

    攻击者必须能拦截通信过程的数据包

    2. 攻击步骤：

    SSLv3协议没有对加密内容做完整的保护，这可能导致对SSLv3连接的中间人攻击。虽然业界已经广泛使用TLS协议替换SSLv3，但是攻击者可以干扰TLS的协商过程，使通信双方用SSLv3而不是TLS建立连接，进而利用SSLv3的安全漏洞对加密通信进行解密。

    华为入侵防御系统（IPS）产品已经在2014年10月16日及以后的版本中加入了用于检测和防御 POODLE 安全漏洞的签名，对应签名编号为 269360，请及时将特征库版本升级至 IPS_H20011000_20141016xx 及以后的版本。

    用户可以通过华为TAC (Huawei Technical Assistance Center) 或华为网站（http://support.huawei.com/enterprise/）或者（http://support.huawei.com/carrier/）或者（http://consumer.huawei.com/cn/support/index.htm）获取补丁/更新版本。

    TAC的联系方式见链接： http://www.huawei.com/cn/security/psirt/report-vulnerabilities/index.htm.

    该漏洞由Google安全团队发现。华为应急响应团队尚未知悉关于该漏洞的任何公开声明或者恶意使用。

    对于华为产品和解决方案的安全问题，请通过PSIRT@huawei.com联系华为PSIRT。

    对于通用的华为产品和解决方案的问题，直接联系华为TAC(Huawei Technical Assistance Center)获取相关问题的配置或技术协助

    2015-05-05 V1.3 UPDATED updated list of affected products

    2015-03-24 V1.2 UPDATED updated list of affected products

    2015-01-16 V1.1 UPDATED updated list of affected products

    2014-12-15 V1.0 INITIAL

    无

    本文件按“原样”提供，不承诺任何明示、默示和法定的担保，包括（但不限于）对适销性、适用性及不侵权的担保。 在任何情况下，华为技术有限公司，或其直接或间接控制的子公司，或其供应商，对任何损失，包括直接，间接，偶然，必然的商业利润损失或特殊损失均不承担责任。您以任何方式使用本文件所产生的一切法律责任由您自行承担。华为可以随时对本文件所载的内容和信息进行修改或更新。

    如果您要反馈华为产品的漏洞信息、获取华为公司安全应急响应服务及获取华为产品漏洞信息，请通过以下链接获取帮助：

    http://www.huawei.com/cn/security/psirt。