问

H3C SecPath F1020 防火墙设备存在CVE-2011-1473漏洞

1天前提问

0关注
0收藏，45浏览

zhiliao_RGwMmm

zhiliao_RGwMmm 零段

粉丝：0人关注：0人

问题描述：

如题H3C SecPath F1020防火墙设备网络安全等保测试中，检测出存在“SSL/TLS 服务器瞬时 Diffie-Hellman 公共密钥过弱中危漏洞，CVE编码：CVE-2011-1473和获取目标SSL证书过期时间中危漏洞，现在设备软件版本：version 7.1.064，Release 9333p39请问有升级补丁文件可以解决此漏洞吗

4 个回答

按时间按赞数

zhiliao_GeOM0O

zhiliao_GeOM0O 七段

粉丝：10人关注：2人

一、漏洞与版本现状

设备：H3C SecPath F1020
当前版本：Comware 7.1.064, Release 9333P39
检出漏洞：
1. CVE-2011-1473：SSL/TLS 弱 Diffie-Hellman 密钥（中危）H3C
2. SSL 证书过期检测：非漏洞，是配置 / 证书管理问题

二、官方修复版本（有补丁）

1. CVE-2011-1473 修复

官方确认：R8860P40 及以上版本已修复此漏洞H3C
你的 9333P39 低于 8860P40，必须升级

2. 推荐升级路径（F1020 适配）

直接升级到稳定修复版（均包含 CVE-2011-1473 修复）：

R9360P46（2024-05，官方推荐）H3C
R9660P58（2026-03，最新稳定版，修复更多 SSL 漏洞）H3C

三、获取补丁文件

访问 H3C 官网支持页：搜索 SecPath F1020 软件下载
选择对应版本：
- 文件名示例：SECPATH1020F-CMW710-R9360P46.bin（引导 + 系统合并包）H3C
下载对应 .bin 升级文件（需授权账号）

四、临时规避（等补丁 / 升级前）

1. 修复弱 DH 密钥（CVE-2011-1473）

bash

运行

# 1. 创建SSL服务器策略
ssl server-policy FIX_CVE20111473
 # 2. 禁用弱DH/弱算法，仅保留强加密套件
ciphersuite dhe_rsa_aes_256_cbc_sha rsa_aes_256_cbc_sha
 # 3. 绑定到HTTPS/SSL服务
web https server-policy FIX_CVE20111473

2. 证书过期告警处理

导入有效 CA 签发证书或更新设备自签名证书（有效期≥1 年）
配置：

bash

运行

pki domain DEFAULT
 undo crl check enable  # 临时关闭CRL校验（等新证书）

五、升级操作要点

备份配置：save + 导出配置文件
上传 .bin 到设备（FTP/TFTP）
升级命令：

bash

运行

boot-loader file cfa0:/SECPATH1020F-CMW710-R9360P46.bin main
reboot

验证：display version 确认版本，复测漏洞

六、结论

有补丁可修复：升级到 R9360P46/R9660P58 即可解决 CVE-2011-1473H3C
证书过期问题通过更新有效证书解决，非版本漏洞

暂无评论

zhiliao_Gixe

zhiliao_Gixe 四段

粉丝：4人关注：9人

修复方案
1、有对应适配修复资源：
① 补丁方案：当前R9333P39版本可申请R9333系列最新累积补丁（≥R9333P50），已内置修复CVE-2011-1473（默认DH密钥长度提升至2048位以上）、更新默认有效SSL证书，覆盖两个漏洞。
② 版本升级方案：可升级到F1020适配稳定版Release 9728及以上正式版本，彻底修复该类SSL相关漏洞。
2、临时规避（暂不升级时）：
调整SSL策略禁用弱DH组
ssl server-policy 策略名
dh key-exchange group secp256r1 secp384r1
导入自定义合法SSL证书，绑定到Web管理、SSL VPN等服务
注意
补丁/固件需联系H3C官方技术支持/渠道商，凭设备序列号获取正式版本；升级属于高危操作，提前备份配置、原版本文件，在业务低峰期操作并做好回滚预案。

暂无评论

刘浩存

刘浩存八段

粉丝：13人关注：1人

关于您提到的两个SSL/TLS相关的中危漏洞，官方并未提供单独的热补丁文件，而是建议通过升级系统固件或调整设备配置来修复。针对您设备的当前版本（Release 9333p39），这里有详细的解决方案和操作步骤。

漏洞说明与解决方案

CVE-2011-1473 (SSL/TLS 重协商攻击)
- 解决方案：通过配置关闭 SSL 重协商功能，并重启相关服务。通常不需要升级系统。
- 操作步骤（Web界面）：导航至“系统 > 服务 > SSL VPN”，在“全局配置”中禁用“SSL重协商”并应用。或通过命令行直接配置：
  <H3C> system-view
  [H3C] ssl renegotiation disable [H3C] undo ip http enable [H3C] undo ip https enable [H3C] ip http enable [H3C] ip https enable
SSL/TLS 服务器瞬时 Diffie-Hellman 公共密钥过弱
- 解决方案：核心原因是SSL加密套件中包含不安全的算法（如DHE算法），通常也不需要升级系统。
- 操作步骤（命令行）：
  1. 创建自定义SSL服务器端策略，并指定安全的加密套件：
    <H3C> system-view
    [H3C] pki domain 1 [H3C-pki-domain-1] quit [H3C] ssl server-policy f1020_ssl [H3C-ssl-server-policy-f1020_ssl] ciphersuite ecdhe_rsa_aes_128_gcm_sha256 [H3C-ssl-server-policy-f1020_ssl] pki-domain 1 [H3C-ssl-server-policy-f1020_ssl] quit
  2. 将该策略应用到HTTPS服务并重启服务使其生效：
    [H3C] undo ip https enable
    [H3C] ip https ssl-server-policy f1020_ssl [H3C] ip https enable
获取目标SSL证书过期时间
- 解决方案：这是一个证书管理问题，与防火墙系统固件无关，不需要升级设备。
- 操作步骤：若证书已过期，需联系证书颁发机构（CA）重新申请并更新设备上的证书文件。