集团网站 选择区域/语言

选择区域/语言

搜索历史 清空

    安全预警 - 华为产品存在使用不安全随机数生成自签名证书的安全漏洞

    • 预警编号：huawei-sa-20160810-01-certificate
    • 初始发布时间：2016-08-10
    • 更新发布时间：2016-10-28

    华为某些产品在首次使用时会自动生成自签名证书，由于生成这些证书时使用的随机数随机性不足，导致不同设备的证书可能使用相同随机数，存在攻击者破解证书的风险。(漏洞编号: HWPSIRT-2016-05255)

    此漏洞的CVE编号为：CVE-2016-6670。
    华为已发布版本修复该漏洞。安全预警链接：
    http://www.huawei.com/cn/psirt/security-advisories/huawei-sa-20160810-01-certificate-cn

    产品名称

    版本号

    修复版本号

    S2300/ S2700

    V100R006C05

    V100R006SPH028

    V200R003C00

    Upgrade to V200R005C00SPC500 and V200R005SPH012

    V200R005C00

    V200R005C00SPC500 and V200R005SPH012

    S3300

    V100R006C05

    V100R006SPH028

    S3700

    V100R006C05

    V100R006SPH028

    S5300/ S5700/ S6300/ S6700

    V200R003C00

    Upgrade to V200R005C00SPC500 and V200R005SPH012

    V200R005C00

    V200R005C00SPC500 and V200R005SPH012

    S7700

    V200R003C00

    V200R005C00

    Upgrade to V200R008C00SPC500

    S9300

    V200R003C00

    V200R005C00

    Upgrade to V200R008C00SPC500

    S9700

    V200R003C00

    V200R005C00

    Upgrade to V200R008C00SPC500

    S12700

    V200R005C00

    Upgrade to V200R008C00SPC500
    攻击者可以找出使用存在弱点的设备证书，并破解得到私钥。由于并非所有存在漏洞的设备都会产生有缺陷的证书，所以攻击者只能攻击特定的设备。
    漏洞使用CVSSv2计分系统进行分级（http://www.first.org/cvss/）
    基础得分：4.3 (AV:N/AC:M/Au:N/C:P/I:N/A:N) 
    临时得分：3.6 (E:F/RL:O/RC:C)
    1. 前提条件：
    攻击者需要收集设备的证书；
    2. 攻击步骤：
    华为某些产品在首次使用时会自动生成自签名证书，由于生成这些证书时使用的随机数随机性不足，导致不同设备的证书可能使用相同随机数，存在攻击者破解证书的风险。

    用户不要使用华为设备生成的自签名证书，可以通过certificate load命令加载安全证书。具体的操作方法，请参考各产品的配置文档。


    用户可以通过华为TAC (Huawei Technical Assistance Center)获取补丁/更新版本。

    TAC的联系方式见链接http://www.huawei.com/cn/psirt/report-vulnerabilities。



    该漏洞是由宾西法尼亚大学的Nadia Heninger， Joshua Fried和Marcella Hastings报告给华为PSIRT， 后来也由FactorMyNumber.com的Frank Gifford告给华为PSIRT。华为感谢Nadia Heninger， Joshua Fried， Marcella Hastings和Frank Gifford与我们协同披露漏洞，以保护华为的客户。
    2016-10-28 V1.2 UPDATED 更新版本和修复信息
    2016-08-11 V1.1 UPDATED 增加CVE ID
    2016-08-10 V1.0 INITIAL

    无

    华为一贯主张尽全力保障产品用户的最终利益，遵循负责任的安全事件披露原则，并通过产品安全问题处理机制处理产品安全问题。

    获取华为公司安全应急响应服务及华为产品漏洞信息，请访问http://www.huawei.com/cn/psirt。
    反馈华为产品和解决方案安全问题,请反馈至华为PSIRT邮箱PSIRT@huawei.com，详情参考http://www.huawei.com/cn/psirt/report-vulnerabilities。

    本文件按“原样”提供，不承诺任何明示、默示和法定的担保，包括（但不限于）对适销性、适用性及不侵权的担保。 在任何情况下，华为技术有限公司，或其直接或间接控制的子公司，或其供应商，对任何损失，包括直接，间接，偶然，必然的商业利润损失或特殊损失均不承担责任。您以任何方式使用本文件所产生的一切法律责任由您自行承担。华为可以随时对本文件所载的内容和信息进行修改或更新。