安全预警 - 华为WLAN AC产品存在mDNS消息处理不当漏洞
- 预警编号：Huawei-SA-20150909-01-mDNS
- 初始发布时间： 2015-09-09
- 更新发布时间： 2015-09-09
华为WLAN AC产品中的mDNS模块对mDNS报文处理不当，响应外网（如WAN）用户的mDNS单播查询消息，导致信息泄露（漏洞编号：HWPSIRT-2015-03024）。
此漏洞的CVE编号为：CVE-2015-6586。
此漏洞的CVE编号为：CVE-2015-6586。
|
产品名称 |
受影响版本 |
修复版本 |
|
WLAN AC6005/AC6605/ACU2 |
V200R005C00 |
Upgrade to V200R006C00SPC100 |
|
V200R005C10 |
||
|
V200R006C00 |
V200R006C00SPC100 |
攻击者可以利用此漏洞获取WLAN AC设备信息。
漏洞使用CVSSv2计分系统进行分级（http://www.first.org/cvss/）
基础得分：5.0 (AV:N/AC:L/Au:N/C:P/I:N/A:N)
临时得分：4.1 (E:F/RL:O/RC:C)
基础得分：5.0 (AV:N/AC:L/Au:N/C:P/I:N/A:N)
临时得分：4.1 (E:F/RL:O/RC:C)
1. 前提条件：
攻击者能够连接到设备；
2. 攻击步骤：
攻击者从外网发起mDNS查询请求。
攻击者能够连接到设备；
2. 攻击步骤：
攻击者从外网发起mDNS查询请求。
场景1：关闭mDNS功能
用命令行分别关闭mDNS relay和mDNS gateway功能：
undo mdns relay enable //关闭mDNS relay功能
undo mdns gateway enable //关闭mDNS gateway功能
场景2：配置ACL，丢弃WAN端口上接收到的mdns报文
通过配置ACL丢弃WAN端口上接收到的mDNS报文，仅处理mDNS本地链路报文。具体配置过程如下：
traffic classifier mdns operator or //创建一个流分类并进入流分类视图
if-match acl 3000 //在流分类中创建基于ACL进行分类的匹配规则，并制定ACL编号
acl number 3000 //创建ACL组
rule 1 deny udp destination-port eq 5353 //配置ACL规则，丢弃mDNS报文
traffic behavior mdns //创建一个流行为并进入流行为视图
deny //禁止匹配指定规则的业务流通过
traffic policy mdns //创建一个流策略
classifier mdns behavior mdns //在流策略中为指定的流分类配置所需流行为，即绑定流分类和流行为
interface GigabitEthernet0/0/23 //进入WAN接口视图
port link-type access //配置接口的链路类型
port default vlan 123 //配置接口的缺省VLAN并同时加入这个VLAN
traffic-policy mdns inbound //WAN口引用流策略，丢弃mDNS报文
用命令行分别关闭mDNS relay和mDNS gateway功能：
undo mdns relay enable //关闭mDNS relay功能
undo mdns gateway enable //关闭mDNS gateway功能
场景2：配置ACL，丢弃WAN端口上接收到的mdns报文
通过配置ACL丢弃WAN端口上接收到的mDNS报文，仅处理mDNS本地链路报文。具体配置过程如下：
traffic classifier mdns operator or //创建一个流分类并进入流分类视图
if-match acl 3000 //在流分类中创建基于ACL进行分类的匹配规则，并制定ACL编号
acl number 3000 //创建ACL组
rule 1 deny udp destination-port eq 5353 //配置ACL规则，丢弃mDNS报文
traffic behavior mdns //创建一个流行为并进入流行为视图
deny //禁止匹配指定规则的业务流通过
traffic policy mdns //创建一个流策略
classifier mdns behavior mdns //在流策略中为指定的流分类配置所需流行为，即绑定流分类和流行为
interface GigabitEthernet0/0/23 //进入WAN接口视图
port link-type access //配置接口的链路类型
port default vlan 123 //配置接口的缺省VLAN并同时加入这个VLAN
traffic-policy mdns inbound //WAN口引用流策略，丢弃mDNS报文
用户可以通过华为TAC (Huawei Technical Assistance Center)或华为网站（http://support.huawei.com/enterprise）获取补丁/更新版本。
TAC的联系方式见链接： http://www.huawei.com/cn/security/psirt/report-vulnerabilities/index.htm.
TAC的联系方式见链接： http://www.huawei.com/cn/security/psirt/report-vulnerabilities/index.htm.
该漏洞由Chad Seaman发现。华为应急响应团队尚未知悉关于该漏洞的任何公开声明或者恶意使用。
对于华为产品和解决方案的安全问题，请通过PSIRT@huawei.com联系华为PSIRT。
对于通用的华为产品和解决方案的问题，直接联系华为TAC(Huawei Technical Assistance Center)获取相关问题的配置或技术协助
对于通用的华为产品和解决方案的问题，直接联系华为TAC(Huawei Technical Assistance Center)获取相关问题的配置或技术协助
2015-09-09 V1.0 INITIAL
无
本文件按“原样”提供，不承诺任何明示、默示和法定的担保，包括（但不限于）对适销性、适用性及不侵权的担保。 在任何情况下，华为技术有限公司，或其直接或间接控制的子公司，或其供应商，对任何损失，包括直接，间接，偶然，必然的商业利润损失或特殊损失均不承担责任。您以任何方式使用本文件所产生的一切法律责任由您自行承担。华为可以随时对本文件所载的内容和信息进行修改或更新。
