M9008-S防火墙漏洞处理
- 0关注
- 0收藏，46浏览
问题描述：
服务器支持 TLS Client-initiated 重协商攻击(CVE-2011-1473)【原理扫描】
SSL/TLS 服务器瞬时 Diffie-Hellman 公共密钥过弱【原理扫描】
组网及组网描述：
服务器支持TLS Client-initiated重协商攻击(CVE-2011-1473)[原理扫描】，该漏洞显示通过832和80端口扫描到，查看防火墙配置发现开启了 netconf soap http enable和 netconf soap https enable，关闭这两个功能是否能解决这个漏洞？
SSL/TLS 服务器瞬时 Diffie-Hellman 公共密钥过弱【原理扫描】，设备未开启http和https功能，需要怎么修复？
2、操作验证步骤：
① 执行display ip service确认80、832端口确实归属SOAP NETCONF服务；
② 执行 undo netconf soap http enable、undo netconf soap https enable关闭服务；
③ 执行display netconf soap status确认两个服务均已关闭，之后重新扫描验证漏洞消失即可。
3、注意：如果后续你需要保留其他防火墙SSL管理服务（比如Web管理HTTPS），可以自定义SSL服务器策略规避同类漏洞，参考配置：
ssl server-policy secure-policy
cipher-suite aes-256-gcm sha384 aes-128-gcm sha256 //排除弱DH类套件
secure-renegotiation enable //开启安全重协商
再把该SSL策略应用到对应HTTPS服务即可。如果扫描出的漏洞资产是内网后端服务器而非防火墙自身，关防火墙SOAP服务无效，需要在服务器侧做对应TLS加固。
可以的
防火墙涉及“(CVE-2011-1473) 服务器支持 TLS Client-initiated 重协商攻击”漏洞
CVE-2011-1473
漏洞描述
由于服务器端的重新密钥协商的开销是客户端的15倍，则攻击者可利用这个过程向服务器发起拒绝服务攻击。OpenSSL 1.0.2及以前版本受影响。
漏洞解决方案
V5平台不支持SSL 重协商功能，V7平台可关闭ssl重协商并重启https服务：
[H3C]ssl renegotiation disable
[H3C]undo ip http enable
[H3C]undo ip https enable
[H3C]ip http enable
[H3C]ip https enable
或者新版本也修复了
暂无评论
要处理 M9008-S 防火墙的这两个漏洞，首先确认一下你说的“关闭 netconf soap http enable 和 netconf soap https enable”是可行的。
针对 CVE-2011-1473 漏洞，如果业务上不需要通过 832 或 80 端口的 NETCONF 管理设备，这确实是最直接的漏洞屏蔽方法。
关闭 NETCONF SOAP
如果确认不影响网络管理，可以在系统视图下执行命令，停用相关功能：
修复 DH 密钥过弱漏洞
在系统视图下操作：
创建安全的 SSL 策略：创建一个新策略，并配置不含 DHE 的加密套件。
[H3C-ssl-server-policy-policy1] ciphersuite rsa_aes_128_cbc_sha rsa_aes_256_cbc_sha [H3C-ssl-server-policy-policy1] quit[H3C] ssl server-policy policy1应用新策略：将新策略应用到 HTTPS 服务并重启服务。
[H3C] undo ip https enable [H3C] ip https enable [H3C] undo ip http enable [H3C] ip http enable注意：重启服务会中断所有 Web 登录，请确保业务允许并保存配置。[H3C] ip https ssl-server-policy policy1
针对 CVE-2011-1473 的备选方案
如果必须保留 SOAP 功能，可以尝试直接关闭 SSL 重协商：
display ssl server-policy 命令确认新策略的加密套件已正确应用。暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论