安全预警 - 华为FusionServer服务器产品多个安全漏洞
- 预警编号：Huawei-SA-20150923-01-FusionServer
- 初始发布时间： 2015-09-23
- 更新发布时间： 2015-10-21
华为FusionServer服务器产品存在多个安全漏洞。
华为FusionServer服务器产品存在命令注入的安全漏洞。攻击者在登录页面上，可以修改输入参数，注入命令，例如新增用户等。(Vulnerability ID: HWPSIRT-2015-06075)
该漏洞的CVE编号为：CVE-2015-7841。
华为FusionServer服务器产品存在服务端未对特定用户修改权限做校验安全漏洞。攻击者以操作员身份登录到服务器，通过构造修改特定报文信息发送到服务端，从而可以篡改服务器数据。(Vulnerability ID: HWPSIRT-2015-06076)
该漏洞的CVE编号为：CVE-2015-7842。
华为FusionServer服务器产品存在暴力破解的安全漏洞。攻击者以低级别用户的身份，通过在管理接口执行命令查询高级别用户的用户名和密码是否正确。设备没有对尝试查询的次数做限制，导致低级别用户可以暴力破解高级别用户的用户名、密码，造成敏感信息泄露。(Vulnerability ID: HWPSIRT-2015-06078)
该漏洞的CVE编号为：CVE-2015-7843。
华为目前已经发布了更新版本解决这些漏洞。安全预警链接：
http://www.huawei.com/cn/security/psirt/security-bulletins/security-advisories/hw-454419.htm
|
产品名称 |
版本号 |
修复版本号 |
|
FusionServer RH2288 V3 |
V100R003C00 |
V100R003C00SPC603 |
|
FusionServer RH2288H V3 |
V100R003C00 |
V100R003C00SPC503 |
|
FusionServer XH628 V3 |
V100R003C00 |
V100R003C00SPC602 |
|
FusionServer RH1288 V3 |
V100R003C00SPC100 |
V100R003C00SPC602 |
|
FusionServer RH2288A V2 |
V100R002C00 |
V100R002C00SPC701 |
|
FusionServer RH1288A V2 |
V100R002C00 |
V100R002C00SPC502 |
|
FusionServer RH8100 V3 |
V100R003C00 |
V100R003C00SPC110 |
|
FusionServer CH222 V3 |
V100R001C00 |
V100R001C00SPC161 |
|
FusionServer CH220 V3 |
V100R001C00 |
V100R001C00SPC161 |
|
FusionServer CH121 V3 |
V100R001C00 |
V100R001C00SPC161 |
HWPSIRT-2015-06075
利用这个漏洞，攻击者可以注入命令，例如新增用户。
HWPSIRT-2015-06076
利用这个漏洞，攻击者可以篡改服务器数据，影响系统可用性。
HWPSIRT-2015-06078
利用这个漏洞，攻击者可以获取高级别用户的用户名、密码，造成敏感信息泄露。
漏洞使用CVSSv2计分系统进行分级（http://www.first.org/cvss/）
HWPSIRT-2015-06075
基础得分：10.0 (AV:N/AC:L/Au:N/C:C/I:C/A:C)
临时得分：8.3 (E:F/RL:O/RC:C)
HWPSIRT-2015-06076
基础得分：5.5 (AV:N/AC:L/Au:S/C:N/I:P/A:P)
临时得分：4.5 (E:F/RL:O/RC:C)
HWPSIRT-2015-06078
基础得分：4.0 (AV:N/AC:L/Au:S/C:P/I:N/A:N)
临时得分：3.3 (E:F/RL:O/RC:C)
HWPSIRT-2015-06075
- 前提条件：
攻击者能够接入到FusionServer服务器；
2. 攻击步骤：
攻击者在FusionServer服务器的登录页面上，构造输入参数。由于FusionServer服务端未对输入参数做校验，攻击者通过构造输入参数注入恶意命令，例如新增用户等。通过注入命令，可以获取管理员权限，从而导致信息泄露，设备不可用。
HWPSIRT-2015-06076
- 前提条件：
1) 攻击者能够接入到FusionServer服务器；
2) 攻击者能够获取到操作员用户名、密码，登录FusionServer服务器成功；
2. 攻击步骤：
攻击者以操作员身份登录到FusionServer服务器，操作员没有修改特定信息的权限。攻击者通过构造修改特定报文信息发送到服务端，绕过前端校验，FusionServer服务端没有对用户权限做校验。攻击者可以修改服务器数据，影响系统可用性。
HWPSIRT-2015-06078
- 前提条件：
1) 攻击者能够接入到FusionServer服务器；
2) 攻击者能够获取到较低权限用户的用户名、密码，登录FusionServer服务器成功；
2. 攻击步骤：
攻击者以低级别用户的身份，通过在管理接口执行命令查询高级别用户的用户名和密码，设备会返回用户名密码是否正确的提示信息。由于设备没有对尝试查询的次数做限制，导致低级别用户可以暴力破解高级别用户的用户名、密码，造成敏感信息泄露。
无
用户可以通过华为TAC (Huawei Technical Assistance Center)获取补丁/更新版本。
TAC的联系方式见链接： http://www.huawei.com/cn/security/psirt/report-vulnerabilities/index.htm.
该漏洞由华为内部测试发现。华为应急响应团队尚未知悉关于该漏洞的恶意使用。
对于华为产品和解决方案的安全问题，请通过PSIRT@huawei.com联系华为PSIRT。
对于通用的华为产品和解决方案的问题，直接联系华为TAC(Huawei Technical Assistance Center)获取相关问题的配置或技术协助
2015-10-21 V1.2 UPDATED 分配CVE编号
2015-09-30 V1.1 UPDATED 刷新漏洞概述、受影响的产品版本和修复
2015-09-23 V1.0 INITIAL
无
