集团网站选择区域/语言

返回主菜单

集团网站

企业业务网站

运营商业务网站

消费者业务网站

华为云业务网站

数字能源业务网站

智能汽车解决方案业务网站

返回主菜单

选择区域/语言

搜索历史

清空

安全预警 - 涉及华为产品的3个OpenSSL安全漏洞

预警编号：huawei-sa-20170503-01-openssl
初始发布时间：2017-05-03
更新发布时间：2020-01-15

漏洞概述

2017年1月26日OpenSSL官方发布了3个安全漏洞。

如果一个恶意的服务器在处理DHE或者ECDHE密钥交换时提供了错误的参数，这会导致客户端空指针引用，进而造成OpenSSL客户端崩溃。 (漏洞编号：HWPSIRT-2017-02005)

此漏洞的CVE编号为: CVE-2017-3730.

如果SSL / TLS服务器或客户端运行在32位主机上，并使用了特定的密码套，则一个被截断的数据包可能会导致该服务器或客户端越界读，通常导致OpenSSL服务器或客户端崩溃。 (漏洞编号：HWPSIRT-2017-02006)

此漏洞的CVE编号为: CVE-2017-3731.

运行在x86_64上的蒙哥马利算法中存在一个漏洞，如果使用了DH算法并在多个客户端之间共享私钥，攻击者成功利用这个漏洞可以获取私钥信息。 (漏洞编号：HWPSIRT-2017-02007)

此漏洞的CVE编号为: CVE-2017-3732.

华为已发布版本修复该漏洞。安全预警链接：

http://www.huawei.com/cn/psirt/security-advisories/huawei-sa-20170503-01-openssl-cn

版本和修复

产品名称	版本号	修复版本号
AC6005	V200R007C10SPC200	v200r007c20spc200
	V200R007C10SPC300
	V200R007C10SPC300PWE
	V200R007C10SPH201
	V200R007C10SPH301
	V200R007C10SPH301PWE
AC6605	V200R007C10SPC200	v200r007c20spc200
	V200R007C10SPC300
	V200R007C10SPC300PWE
	V200R007C10SPH201
	V200R007C10SPH301
	V200R007C10SPH301PWE
AP2000	V200R007C10SPC200	V200R007C20SPC200
	V200R007C10SPC300
	V200R007C10SPC500
	V200R007C10SPC600
AP3000	V200R007C10SPC200	V200R007C20SPC200
	V200R007C10SPC300
	V200R007C10SPC500
	V200R007C10SPC600
AP4000	V200R007C10SPC200	V200R007C20SPC200
	V200R007C10SPC300
	V200R007C10SPC500
	V200R007C10SPC600
AP6000	V200R007C10SPC200	v200r007c20spc200
	V200R007C10SPC300
	V200R007C10SPC500
	V200R007C10SPC600
AP7000	V200R007C10SPC200	v200r007c20spc200
	V200R007C10SPC300
	V200R007C10SPC500
	V200R007C10SPC600
IPS Module	V500R001C30	V5R5C00SPC100
	V500R001C50
	V500R001C50PWE
NGFW Module	V500R002C00	V5R5C00SPC100
	V500R002C10
	V500R002C10PWE
OceanStor 9000	V300R005C00	V300R006C00SPC100
OceanStor Backup Software	V200R001C00	OceanStor BCManager V200R001C00SPC203
RH5885 V3	V100R003C01	V100R003C01SPC121
RH5885 V3	V100R003C10	V100R003C10SPC111
Secospace AntiDDoS8000	V500R001C60SPC501	V500R005C00SPC300
	V500R001C60SPC600
	V500R001C60SPH601
	V500R005C00SPC100	V500R005C00SPC300
Secospace AntiDDoS8030	V500R001C60SPC100	V500R005C00
	V500R001C60SPC300
	V500R001C60SPC500
	V500R001C80
Secospace USG6600	V500R001C30	V500R001C30SPC600
	V500R001C50
	V500R001C50PWE
UPS2000	V100R002C02	V100R002C02SPC302
	V200R001C31	V200R001C01SPC300
	V200R001C90	V100R002C02SPC302
USG9500	V500R001C30SPC100	V500R001C30SPC600
USG9500	V500R001C30SPC200	V500R001C30SPC600
eSpace VCN3000	V100R002C10SPC103	V100R002C30
eSpace VCN3000	V100R002C20SPC207	V100R002C30

影响后果

HWPSIRT-2017-02005:

攻击者成功利用这个漏洞可以导致Openssl客户端在链接一个恶意服务器时崩溃。

HWPSIRT-2017-02006:

攻击者成功利用这个漏洞可以导致Openssl服务器或客户端崩溃。

HWPSIRT-2017-02007:

攻击者成功利用这个漏洞可以获取私钥信息。

漏洞得分

漏洞使用CVSSv3计分系统进行分级（http://www.first.org/cvss/specification-document）

HWPSIRT-2017-02005:

基础得分：5.9 (AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H)

临时得分：5.5 (E:F/RL:O/RC:C)

HWPSIRT-2017-02006:

基础得分：5.9 (AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H)

临时得分：5.5 (E:F/RL:O/RC:C)

HWPSIRT-2017-02007:

基础得分：5.9 (AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N)

临时得分：5.5 (E:F/RL:O/RC:C)

技术细节

漏洞详细描述：

更多技术细节，可以参考此网址: https://www.openssl.org/news/secadv/20170126.txt

规避措施

无

版本获取途径

用户可以通过华为TAC (Huawei Technical Assistance Center)获取补丁/更新版本。

TAC的联系方式见链接http://www.huawei.com/cn/psirt/report-vulnerabilities。

漏洞来源

该漏洞由OpenSSL官网披露。

更新记录

2020-01-15 V1.2 UPDATED 刷新受影响产品版本和修复信息;

2017-11-29 V1.1 UPDATED 刷新受影响产品版本和修复信息;刷新摘要;

2017-05-03 V1.0 INITIAL

FAQs

无

华为安全应急响应对外服务

华为一贯主张尽全力保障产品用户的最终利益，遵循负责任的安全事件披露原则，并通过产品安全问题处理机制处理产品安全问题。

获取华为公司安全应急响应服务及华为产品漏洞信息，请访问http://www.huawei.com/cn/psirt。
反馈华为产品和解决方案安全问题,请反馈至华为PSIRT邮箱PSIRT@huawei.com，详情参考http://www.huawei.com/cn/psirt/report-vulnerabilities。

声明

本文件按“原样”提供，不承诺任何明示、默示和法定的担保，包括（但不限于）对适销性、适用性及不侵权的担保。在任何情况下，华为技术有限公司，或其直接或间接控制的子公司，或其供应商，对任何损失，包括直接，间接，偶然，必然的商业利润损失或特殊损失均不承担责任。您以任何方式使用本文件所产生的一切法律责任由您自行承担。华为可以随时对本文件所载的内容和信息进行修改或更新。

选择区域/语言

产品

联接

计算

云

数字能源

行业解决方案

热点话题

个人及家庭产品

华为云业务

企业业务

运营商业务

数字能源业务

合作伙伴

开发者

学习与认证

关于华为

新闻与活动

发现华为

安全预警 - 涉及华为产品的3个OpenSSL安全漏洞