建议先升级版本

AD-Campus被扫出OpenSSH漏洞，核心解决思路是升级底层操作系统（如Redhat）的OpenSSH软件包，而不是升级AD-Campus软件本身。

针对你列出的这些CVE漏洞，可参考以下修复方案：

各CVE漏洞修复方案速查表

📝 操作步骤与注意事项

1. 确认漏洞源头

根据H3C官方信息，DR2000（ADCampus）的OpenSSH漏洞是操作系统（如Redhat）相关的问题，不涉及AD-Campus产品本身。因此，修复工作应该在AD-Campus服务器所运行的操作系统上进行。

2. 升级OpenSSH软件包（推荐方案）

这是最根本的修复方法。请根据你的操作系统选择合适的方式：

• 对于Red Hat/CentOS系统：使用yum更新openssh和openssh-server软件包。

  bash

  yum update -y openssh openssh-server

• 对于Ubuntu/Debian系统：使用apt更新软件包。

  bash

  sudo apt update && sudo apt upgrade openssh-server

• 对于SUSE系统：使用zypper进行更新。

  bash

  sudo zypper patch

注意：

• 升级前务必在测试环境中验证，并在生产环境操作前做好完整备份。

• 升级后需要重启sshd服务使新版本生效。

• 可以通过ssh -V命令查看升级后的OpenSSH版本。

3. 应用临时缓解措施

如果无法立即升级，可对一些漏洞采取临时缓解措施：

• CVE-2024-6387：在/etc/ssh/sshd_config中设置LoginGraceTime 0并重启sshd服务。注意：这会增加服务被DoS攻击的风险。

• CVE-2023-38408：如非必要，可在/etc/ssh/sshd_config中设置AllowAgentForwarding no禁用ssh-agent转发。

4. 限制SSH访问（防御性措施）

无论是否升级，都可以通过限制访问来增强安全性：

• 防火墙/ACL限制：只允许可信的管理IP地址访问服务器的22端口。

• 使用VPN：要求管理员通过VPN接入内网后再进行SSH管理

AD‑Campus 漏扫大量 OpenSSH 高危漏洞处理方案

关键点：AD‑Campus 是一体化设备，底层操作系统不允许用户手动 yum / 编译升级 openssh 软件包，私自升级会破坏产品依赖，导致 AD‑Campus 业务（认证、纳管、web 页面）异常、系统无法启动，官方不支持该操作H3C。 绿盟扫描出 CVE‑2021‑41617、CVE‑2024‑6387、CVE‑2026‑35414 等一批高危，是设备底层 Linux 内置 OpenSSH 版本老旧。

方案 1：官方版本升级（根治漏洞，优先推荐）

1. 联系 H3C400，确认当前 AD‑Campus 版本，查询对应新版本镜像，新版本镜像会同步更新底层系统 OpenSSH，修复全部 CVE 漏洞。
2. 执行 AD‑Campus 整机版本升级（ipe 包升级），不要单独打操作系统 rpm 补丁。
3. 升级前完整备份 AD‑Campus 配置与数据库。

⚠️注意：AD‑Campus 不支持单独系统补丁，底层组件跟随整机镜像一起更新。

方案 2：加固规避（无法立刻升级版本时，生产环境必须做，缩小攻击面，不能消除漏洞本体）

核心思路：SSH 22 端口不对外暴露，只允许堡垒机 / 运维固定 IP 访问，阻断漏扫器、其他网段访问 SSH 服务。

①网络层面（防火墙 / 前端交换机 ACL，最重要）

AD‑Campus 管理前端防火墙，配置安全策略：

• 仅放行堡垒机、运维管理网段访问 AD‑Campus 的 TCP 22 端口；拒绝所有其他源 IP 访问 22 端口。
• AD‑Campus 业务端口（80/443、Radius、portal 等）正常放行。

漏扫设备如果不在允许的运维 IP 列表，就无法探测 SSH 指纹，扫描报告不会报出这批 OpenSSH 漏洞。

②AD‑Campus 系统内部 ssh 加固（登录 AD‑Campus 后台 shell 操作）

1. 修改 sshd 配置/etc/ssh/sshd_config

保存后重启 sshd 服务 systemctl restart sshd。

2. 建议：日常运维优先使用 WebUI，尽量少使用 SSH 登录后台。

③不建议直接关闭 sshd 服务

AD‑Campus 内部组件部分依赖 ssh，直接 stop sshd 会引发部分后台功能异常，不建议禁用服务，用防火墙 ACL 拦截访问更稳妥。

方案 3：等保漏扫报告说明（给安全测评方）

如果暂时不能升级整机版本，给测评机构说明：

1. AD‑Campus 为 H3C 一体化商用设备，底层操作系统组件不允许客户单独升级 openssh；
2. 已经在网络边界配置 ACL，SSH (22 端口) 仅堡垒机 / 运维网段可访问，漏扫器不能访问 22 端口，攻击面已经隔离；
3. 排定维护窗口，计划升级 AD‑Campus 整机官方新版本镜像彻底修复全部 CVE 漏洞。

禁止操作（踩坑点）

❌不要手动 yum update / 编译安装新版 openssh，会破坏 AD‑Campus 产品依赖，出现 web 打不开、认证业务瘫痪，官方不提供故障保障。

排错验证命令（登录 AD‑Campus 后台）

总结

1. 根治：升级 AD‑Campus 官方整机镜像，底层 openssh 随版本修复所有 CVE 漏洞。
2. 临时防护：网络 ACL 严格限制 22 端口源 IP，仅堡垒机 / 运维 IP 可访问，扫描器无法探测 SSH。
3. 严禁客户自行升级操作系统 openssh 软件包，会导致业务故障。