集团网站 选择区域/语言

选择区域/语言

搜索历史 清空

    安全预警 - GUN Glibc缓冲区溢出安全漏洞

    • 预警编号：huawei-sa-20160304-01-glibc
    • 初始发布时间：2016-03-04
    • 更新发布时间：2020-12-23

    2016年2月16日Google安全研究团队披露了一个GNU C library（glibc）基础库中的缓冲区溢出安全漏洞（CVE-2015-7547），远程攻击者成功利用该漏洞可以执行任意代码。(漏洞编号: HWPSIRT-2016-02018)  

    此漏洞的CVE编号为：CVE-2015-7547。 

    华为已发布版本修复该漏洞。安全预警链接：

    http://www.huawei.com/cn/psirt/security-advisories/huawei-sa-20160304-01-glibc-cn

    产品名称

    版本号

    修复版本号

    AC6005

    V200R005C10

    V200R006C20SPC500

    V200R006C00

    V200R006C10

    AP4050DN

    V200R007C20

    V200R019C00SPC300

    AR3200

    V200R006C10

    V200R007C00SPC600

    V200R006C11

    V200R006C12

    V200R006C13

    V200R006C15

    V200R006C16

    V200R006C17

    Agile Controller-Campus

    V100R001C00

    V100R002C00SPC105

    V100R002C00

    CloudEngine 12800

    V100R002C00

    V100R006C00SPC600

    V100R003C00

    V100R003C10

    V100R005C00

    V100R005C10

    CloudEngine 5800

    V100R002C00

    V100R006C00SPC600

    V100R003C00

    V100R003C10

    V100R005C00

    V100R005C10

    CloudEngine 6800

    V100R002C00

    V100R006C00SPC600

    V100R003C00

    V100R003C10

    V100R005C00

    V100R005C10

    CloudEngine 7800

    V100R003C00

    V100R006C00SPC600

    V100R003C10

    V100R005C00

    V100R005C10

    FusionAccess

    V100R005C10

    V100R005C30SPC105

    V100R005C20

    V100R005C30SPC100

    V100R005C30SPC102

    V100R005C30SPC103

    FusionCompute

    V100R003C00

    V100R005C10U1

    V100R003C10

    V100R005C00

    V100R005C10

    FusionCube

    V100R002C02

    V100R002C50

    FusionManager

    V100R003C00

    V100R005C10U1

    V100R003C10

    V100R005C00

    V100R005C10

    FusionSphere OpenStack

    V100R005C00

    V100R006C00

    V100R005C10

    Huawei solutions for SAP HANA

    V100R001C01SPC103 and earlier versions

    SUSE Patch

    ManageOne

    V100R001

    Glibc Patch

    V100R002

    OceanStor 18500 V3

    V300R003C10SPC100

    V300R003C20

    OceanStor 18800 V3

    V300R003C10SPC100

    V300R003C20

    OceanStor 5500 V3

    V300R003C10SPC100

    V300R003C20

    OceanStor 5600 V3

    V300R003C10SPC100

    V300R003C20

    OceanStor 5800 V3

    V300R003C10SPC100

    V300R003C20

    OceanStor 6800 V3

    V300R003C10SPC100

    V300R003C20

    OceanStor 9000

    V100R001C01

    V100R001C30SPC200

    V100R001C30

    V300R005C00

    V300R005C00SPC170

    OceanStor 9000E

    V100R002C19

    V100R001C30SPC200

    OceanStor Backup Software

    V100R002C00

    V100R002C00SPC201[5]

    OceanStor HDP3500E

    V100R002C00

    Glibc Patch

    V100R003C00

    OceanStor N8500

    V200R001C09

    OceanStor Backup Software V100R002C00SPC201[5]

    V200R001C91

    OceanStor Onebox

    V100R001C01

    OceanStor Backup Software V100R002C00SPC201[5]

    V100R002C00LSFM01

    V100R003C10SPC100

    OceanStor UDS

    V100R002C00

    V100R002C01SPC109

    V100R002C01

    RH1288A V2

    V100R002C00

    V100R002C00SPC706

    versions earlier than RH1288A V2 V100R002C00SPC705

    RH1288A V2 V100R002C00SPC705

    RH2285H V2

    V100R002C00

    V100R002C00SPC300

    RH2288A V2

    V100R002C00

    V100R002C00SPC706

    RH5885 V3

    V100R003C00

    V100R003C10SPC109

    S2700

    V200R006C10

    V200R011C10SPC600

    SMSGW

    V100R001C01

    Glibc Patch

    V100R002C01

    V100R002C11

    V100R003C01

    V1300N

    V100R002

    Glibc Patch

    VCM

    V100R002

    Glibc Patch

    eLog

    V200R003C10

    V200R003C10CP0001[3]

    V200R003C20

    eOMC910

    V100R004C00

    eOMC910 V100R004C10

    eSpace CAD

    V100R001

    Glibc Patch

    eSpace UMS

    V200R002

    Glibc Patch

    eSpace VCN3000

    V100R001

    Glibc Patch

    V100R002

    iManager NetEco

    V600R002C00

    iManager NetEco SysTool_SuSE_Patch1 V300R006C10SPC600

    V600R007C00

    V600R007C10

    V600R007C11

    V600R007C12

    V600R007C20

    V600R007C40

    iManager NetEco 6000

    V600R002C10

    iManager NetEco SysTool_SuSE_Patch1 V300R006C10SPC600

    V600R002C13

    V600R002C33


    [1] 仅Linux操作系统受影响,只需要升级CH220 V3 V100R001C00SPC190软件包中的CH220 V3-iBMC-V202.zip即可修复此漏洞。

    [2]仅Linux操作系统受影响,只需要升级E9000 Chassis V100R001C00SPC291软件包中的MM910-MM-V532.zip即可修复此漏洞。

    [3]仅Linux操作系统受影响,只需要升级eLog V200R003C10CP0001软件包中的suse11SP3Patch-64.zip即可修复此漏洞。

    [4] 仅Linux操作系统受影响,只需要升级eSight Network V300R003C20SPC100(Upgrade Tool 2.0)软件包中的SUSE11_SP1_Patch.zip 或者SUSE11_SP3_Patch.zip 即可修复此漏洞。

    [5]仅Linux操作系统受影响,只需要升级OceanStor Backup Software V100R002C00SPC201软件包中的OceanStor Backup Software V100R002C00SPC201_Glibc_Patch.tar.gz即可修复此漏洞。

    [6]仅Linux操作系统受影响，只需要升级RH8100 V3 V100R003C00SPC203软件包中的RH8100 V3-iBMC-V206.zip即可修复此漏洞。

    [7]仅Linux操作系统受影响,只需要升级X6800 V100R003C00SPC606软件包中的MM810-HMM-V202.zip即可修复此漏洞。


    成功利用该漏洞可以执行任意代码。

    漏洞使用CVSSv2计分系统进行分级（http://www.first.org/cvss/）

    基础得分：6.8 (AV:N/AC:M/Au:N/C:P/I:P/A:P)

    临时得分：5.6 (E:F/RL:O/RC:C)

    Glibc漏洞存在于glibc库中的一个用于处理DNS请求的函数中(getaddrinfo)，当受影响系统响应一个大于2048字节的DNS response时，可能会造成缓冲区溢出。远程攻击者成功利用该漏洞可以执行任意代码。

    更多漏洞信息可以参考：https://googleonlinesecurity.blogspot.com/2016/02/cve-2015-7547-glibc-getaddrinfo-stack.html

    针对受影响产品没有有效的规避方案，但是客户可以部署华为NGFW(下一代防火墙)或者数据中心防火墙产品，并升级IPS特征库至2016年2月24日发布的最新版本(IPS_H20011000_2016022400)以检测和防护来自于网络层面的glibc漏洞攻击。

    用户可以通过华为TAC (Huawei Technical Assistance Center)获取补丁/更新版本。

    TAC的联系方式见链接http://www.huawei.com/cn/psirt/report-vulnerabilities



    该漏洞是由Google安全研究团队披露。

    2020-12-23 V1.6 UPDATED 更新了受影响产品信息
    2020-08-12 V1.5 UPDATED 更新了受影响产品信息
    2016-12-28 V1.4 UPDATED 更新了受影响产品信息
    2016-05-10 V1.3 UPDATED 更新了受影响产品信息
    2016-04-22 V1.2 UPDATED 更新了受影响产品信息
    2016-03-31 V1.1 UPDATED 更新了受影响产品信息
    2016-03-04 V1.0 INITIAL


    无

    华为一贯主张尽全力保障产品用户的最终利益，遵循负责任的安全事件披露原则，并通过产品安全问题处理机制处理产品安全问题。

    获取华为公司安全应急响应服务及华为产品漏洞信息，请访问http://www.huawei.com/cn/psirt。
    反馈华为产品和解决方案安全问题,请反馈至华为PSIRT邮箱PSIRT@huawei.com，详情参考http://www.huawei.com/cn/psirt/report-vulnerabilities。


    本文件按“原样”提供，不承诺任何明示、默示和法定的担保，包括（但不限于）对适销性、适用性及不侵权的担保。 在任何情况下，华为技术有限公司，或其直接或间接控制的子公司，或其供应商，对任何损失，包括直接，间接，偶然，必然的商业利润损失或特殊损失均不承担责任。您以任何方式使用本文件所产生的一切法律责任由您自行承担。华为可以随时对本文件所载的内容和信息进行修改或更新。