集团网站 选择区域/语言

选择区域/语言

搜索历史 清空

    安全通告 - 涉及华为某些产品的Apache log4j2远程代码执行漏洞

    • 预警编号：huawei-sa-20211215-01-log4j
    • 初始发布时间：2021-12-15
    • 更新发布时间：2022-01-20

    华为的某些产品受Apache Log4j2远程代码执行漏洞的影响。该漏洞是由于Apache Log4j2某些功能存在递归解析错误导致的，攻击者可构造恶意请求控制日志参数，触发远程代码执行漏洞。 (漏洞编号：HWPSIRT-2021-28415和HWPSIRT-2021-94301)

    对应漏洞的CVE 编号为: CVE-2021-45046和CVE-2021-44228。

    针对已经发布了修复版本的产品，华为会发布并持续更新此安全通告：

    http://www.huawei.com/cn/psirt/security-advisories/huawei-sa-20211215-01-log4j-cn

    产品名称

    受影响版本号

    修复版本号

    SMSGW

    V100R001C01

    V100R001C01LG8001SPC002

    V100R002C11

    V100R002C11LG8007SPC002

    V100R003C01

    V100R003C01LG8016

    Agile Controller-Campus

    V100R003C60SPC202

    V100R003C60SPC216

    V100R003C60SPC205

    V100R003C60SPC206

    V100R003C60SPC207

    V100R003C60SPC208

    V100R003C60SPC209

    V100R003C60SPC210

    V100R003C60SPC211

    V100R003C60SPC212

    V100R003C60SPC213

    FusionCompute

    6.5.0

    6.5.1.HP8

    6.5.1

    8.0.0

    8.0.1.HP3

    8.0.1

    8.0.RC2

    8.0.RC3

    8.1.0

    Fusioncompute 8.1.1.1

    8.1.1

    8.1.RC1

    FusionCube

    6.0.0

    6.0.5.SPC102

    6.0.1

    6.0.2

    FusionCube 1000C 8.0.0.CP1

    6.0.3

    6.0.5

    6.0.5.SPC102

    6.0.RC1

    FusionCube 1000C 8.0.0.CP1

    6.0.RC2

    6.0.RC3

    6.0.5.SPC102

    6.0.RC5

    FusionCube 1000C 8.0.0.CP1

    FusionStorage OBS

    7.0.0

    OceanStor 100D 8.0.3.SPH6

    7.0.1

    GaussDB 200

    6

    GaussDB A 8.0.0.SP8

    ManageOne

    8.0.0

    8.0.3.CP0033

    8.0.1

    8.0.2

    8.0.3

    8.1.0

    NFV_FusionSphere

    21.3.0

    21.3.0.SPH1

    6.5.1

    6.5.1.SPH35

    8.0.0

    8.0.0.SPC25

    V100R006C50SPC105

    V100R006C50SPC225

    V100R006C50SPC109

    V100R006C50SPC212

    V100R006C50SPC219

    V100R006C50SPC220

    V100R006C50SPH211

    OceanStor 6800 V3

    V300R006C60

    V300R006C60SPC001

    OceanStor 9000

    V300R006C20

    OceanStor 9000 V5 7.1.1.SPH109

    SMC2.0

    V500R002C00SPC900

    V600R019C10SPC954

    V600R006C00

    V600R006C10

    V600R019C00

    V600R019C10

    SoftCo

    V200R003C50SPC500

    V200R003C50SPC905

    V200R003C50SPC600

    V200R003C50SPC700

    V200R003C50SPC800

    V200R003C50SPC900

    eAPP610

    V100R006C00

    V100R006C00SPC400

    eCNS280[1]

    V100R005C10SPC200

    V100R005C10SPC803

    V100R005C10SPC210

    V100R005C10SPC300

    V100R005C10SPC310

    V100R005C10SPC500

    V100R005C10SPC506

    V100R005C10SPC516

    V100R005C10SPC800

    V100R005C10SPC801

    V100R005C10SPC802

    eCNS290[1]

    V100R005C30SPC200

    V100R005C30SPC205

    V100R005C30SPC201

    V100R005C30SPC202

    eLog

    V200R007C10

    V200R007C10SPC203

    eSE620X vESS[1]

    V100R001C10SPC200

    V200R001C00SPC361

    V100R001C20SPC300

    V200R001C00SPC360

    eSpace ECS

    V300R001C00SPC200

    V300R001C00SPC223

    V300R001C00SPC201

    V300R001C00SPC202

    V300R001C00SPC203

    V300R001C00SPC205

    V300R001C00SPC206

    V300R001C00SPC207

    V300R001C00SPC208

    V300R001C00SPC209

    V300R001C00SPC210

    V300R001C00SPC211

    V300R001C00SPC212

    V300R001C00SPC213

    V300R001C00SPC215

    V300R001C00SPC216

    V300R001C00SPC217

    V300R001C00SPC218

    V300R001C00SPC219

    V300R001C00SPC220

    V300R001C00SPC221

    V300R001C00SPC222

    eSpace U1910

    V200R003C50SPC500

    V200R003C50SPC905

    V200R003C50SPC600

    V200R003C50SPC700

    V200R003C50SPC800

    V200R003C50SPC900

    eSpace U1911

    V200R003C50SPC500

    V200R003C50SPC905

    V200R003C50SPC600

    V200R003C50SPC700

    V200R003C50SPC800

    V200R003C50SPC900

    eSpace U1930

    V200R003C50SPC500

    V200R003C50SPC905

    V200R003C50SPC600

    V200R003C50SPC700

    V200R003C50SPC800

    V200R003C50SPC900

    eSpace U1960

    V200R003C50SPC500

    V200R003C50SPC905

    V200R003C50SPC600

    V200R003C50SPC700

    V200R003C50SPC800

    V200R003C50SPC900

    eSpace U1980

    V200R003C50SPC500

    V200R003C50SPC905

    V200R003C50SPC600

    V200R003C50SPC700

    V200R003C50SPC800

    V200R003C50SPC900

    eSpace U1981

    V200R003C50

    V200R003C50SPC905

    iManager NetEco

    V600R009C10

    V600R010C00CP5303

    V600R010C00

    iManager NetEco 6000

    V600R008C00

    V600R008C10CP5902

    V600R008C10

    V600R009C00

    V600R009C00CP2601

    V600R021C00

    iMaster NetEco V600R021C10CP3301

    V600R021C10

    iMaster MAE-M

    V100R020C10

    iMaster MAE V100R020C10CP2309

    V100R021C10

    iMaster MAE V100R021C10CP2703

    V100R022C00

    iMaster MAE V100R022C00CP2101

     注释

    [1] 受影响的软件为核心网配套LMT工具，仅影响安装LMT工具的PC，核心网产品软件不受影响。

    攻击者可构造恶意请求控制日志参数，触发远程代码执行漏洞。


    漏洞使用CVSSv3计分系统进行分级（http://www.first.org/cvss/specification-document）

    HWPSIRT-2021-28415:

    基础得分：9.0 (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H)

    临时得分：8.3 (E:F/RL:O/RC:C)


    HWPSIRT-2021-94301:

    基础得分：10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)

    临时得分：9.3 (E:F/RL:O/RC:C)

    利用漏洞发起攻击的预置条件：

    攻击者可以访问目标系统。

    漏洞详细描述：

    该漏洞是由于Apache Log4j2某些功能存在递归解析错误导致的，攻击者可构造恶意请求控制日志参数，触发远程代码执行漏洞。

    无


    用户可以通过华为TAC (Huawei Technical Assistance Center)获取补丁/更新版本。

    TAC的联系方式见链接http://www.huawei.com/cn/psirt/report-vulnerabilities。



    该漏洞是由外部公开披露。

    2022-01-20 V1.7 UPDATED 刷新受影响产品版本和修复信息；

    2022-01-14 V1.6 UPDATED 刷新受影响产品版本和修复信息；

    2022-01-14 V1.5 UPDATED 刷新受影响产品版本和修复信息；

    2022-01-12 V1.4 UPDATED 刷新受影响产品版本和修复信息；

    2021-12-28 V1.3 UPDATED 刷新受影响产品版本和修复信息；

    2021-12-24 V1.2 UPDATED 刷新受影响产品版本和修复信息，刷新漏洞概述；

    2021-12-24 V1.1 UPDATED 刷新受影响产品版本和修复信息;

    2021-12-15 V1.0 INITIAL

    无

    华为一贯主张尽全力保障产品用户的最终利益，遵循负责任的安全事件披露原则，并通过产品安全问题处理机制处理产品安全问题。

    获取华为公司安全应急响应服务及华为产品漏洞信息，请访问http://www.huawei.com/cn/psirt。
    反馈华为产品和解决方案安全问题,请反馈至华为PSIRT邮箱PSIRT@huawei.com，详情参考http://www.huawei.com/cn/psirt/report-vulnerabilities。

    本文件按“原样”提供，不承诺任何明示、默示和法定的担保，包括（但不限于）对适销性、适用性及不侵权的担保。 在任何情况下，华为技术有限公司，或其直接或间接控制的子公司，或其供应商，对任何损失，包括直接，间接，偶然，必然的商业利润损失或特殊损失均不承担责任。您以任何方式使用本文件所产生的一切法律责任由您自行承担。华为可以随时对本文件所载的内容和信息进行修改或更新。