UIS R0886P06 东方通 TongWeb7 反序列化漏洞完整答复

一、核心结论

1. UIS R0886P06 是否存在该漏洞，不能仅凭 UIS 大版本直接判定，取决于内置 TongWeb 中间件子版本
   漏洞影响区间：7.0.0.0 ≤ TongWeb7 < 7.0.4.9_M10（含 7.0.4.9_M9 及更早，7.0.4.9_M10 及以上修复）
2. UIS R0886P06 为 2026 年 4 月发布正式版本，存在两种子镜像基线：
   • 早期交付批次：内置 TongWeb7 低于 7.0.4.9_M10 → 存在高危漏洞
   • 后期同步安全补丁交付批次：内置 TongWeb7≥7.0.4.9_M10 → 无风险
3. 该漏洞危害：无认证远程代码执行，攻击者可完全接管 UIS 管理平台，窃取虚拟机、存储、账号全部数据，属于高危漏洞。

二、现场自查 TongWeb 版本（3 种方式，优先第一种）

方式 1：UIS Manager 后台 Linux 命令（最准确）

方式 2：查看 TongWeb 启动日志

方式 3：TongWeb 内置控制台（9060 端口）

三、分场景处置方案

场景 1：自查 TongWeb 版本 < 7.0.4.9_M10（存在漏洞）

方案 A（根治，推荐生产）

1. 联系 H3C 400 技术支持，获取适配 R0886P06 的UIS 安全补丁包（内置打好 7049_M10 TongWeb 补丁）；
2. 业务维护窗口上传补丁，在线升级中间件，无需整机大版本升级 UIS；
3. 补丁安装完成后重启 UIS 管理服务，复测 TongWeb 版本确认达标。

方案 B（临时应急缓解，无法彻底根除）

1. 修改 TongWeb 启动参数，禁用 EJB 远程服务：

2. 防火墙 / 安全策略限制外网、办公网访问 UIS 9060、8080、8443 端口，仅内网运维 IP 放行；
3. WAF 增加规则拦截 /ejbserver、/console、/service 恶意序列化 POST 请求。

方案 C：整机升级更高 UIS 版本

场景 2：TongWeb ≥7.0.4.9_M10（无漏洞）

1. 限制 UIS 管理端口仅运维内网访问，禁止对公网暴露；
2. 定期巡检中间件版本、更新 UIS 月度安全补丁；
3. 关闭非必要 TongWeb 管理控制台访问权限。

四、关键补充说明

1. 不能单独下载东方通官方 TongWeb 补丁直接覆盖 UIS 内置中间件：UIS 对 TongWeb 做定制适配，直接替换会导致 UIS 平台服务崩溃、纳管集群失效，必须使用 H3C 官方适配补丁；
2. 漏洞仅影响 UIS Manager 管理节点，下层 CVK 虚拟化节点、存储磁盘无 TongWeb 组件，不受此漏洞影响；
3. 整改优先级：先限制端口暴露做临时防护，再业务窗口打官方安全补丁根治。