M9000 832和443端口漏洞

漏洞cve发一下

您好，参考

M9000+目标主机使用了不安全的SSL加密算法【原理扫描】 - 知了社区

针对 M9000 防火墙 443 和 832 端口的“RSA 密钥交换”漏洞，无需升级系统，通过调整设备自身的 SSL 配置即可规避。

这两个端口通常对应设备的管理服务，因此整改思路是加固 SSL 加密套件，禁用不安全的算法和协议版本。

操作前，建议按以下步骤进行，确保配置生效且不影响业务。

📝 准备工作：确认漏洞来源与端口归属

首先，需要确认漏洞扫描命中的是 M9000 自身，还是其背后的服务器。

1. 检查 IP 地址：对照漏洞报告中的“目标 IP”，确认是否为 M9000 自身的接口地址。

2. 确认端口服务：登录 M9000 命令行，执行以下命令，明确 443 和 832 端口在做什么：

   bash

   display ip service display tcp

   • 443 端口：通常由 ip https enable 开启，用于 HTTPS Web 管理或 SSL VPN 服务。

   • 832 端口：由 netconf soap https enable 开启，用于 NETCONF over SOAP over HTTPS 的自动化管理通道。

🛠️ 整改操作步骤

根据上述确认的端口归属，采取不同的操作。所有操作均需在 system-view 系统视图下进行。

1. 全局加固：关闭不安全协议与重协商（通用步骤）

无论处理哪个端口，都应先执行以下全局加固命令：

注意：关闭重协商功能会增加系统计算开销，但能有效规避风险。

2. 场景 A：处理 832 端口（NETCONF 服务）

如果不需要通过 832 端口进行 NETCONF 自动化管理，直接关闭该服务是最快捷的方法。

关闭后，可用 display netconf soap status 命令确认服务状态是否为 Disabled。

3. 场景 B：处理 443 端口（HTTPS 管理/SSL VPN）

443 端口通常需要保留。正确的做法是创建一个只启用强加密算法的 SSL 策略，并应用到 HTTPS 服务。

第 1 步：创建强加密的 SSL 服务器端策略

关键点：ciphersuite 命令后绝不能包含任何 dhe_ 开头的套件。根据你的设备版本，可能还支持 gcm 等更安全的套件。选择套件时，只启用不含 DHE 字段的算法即可。

第 2 步：将新策略应用到 HTTPS 管理服务

这一“关闭-引用-开启”的流程会触发服务重新加载配置。

⚠️ 重要提醒

• 关于 SSL VPN：如果 443 端口被 SSL VPN 服务占用，需在对应的 SSL VPN 网关或 Context 配置中引用新建的 secure-policy 策略，然后重启 SSL VPN 服务。

• 关于 NETCONF：如果必须保留 832 端口，则需在 NETCONF 配置中同样引用新建的 SSL 策略。命令参考如下：

  bash

  netconf soap https ssl-server-policy secure-policy

• 验证配置：完成后，务必使用 display ssl server-policy [secure-policy] 和 display ssl version 命令检查配置是否生效。

• 业务中断：重启 HTTPS 服务会导致 Web 管理界面短暂中断，请在业务低峰期操作。

• 版本支持：新加密套件可能需要较新的软件版本支持。若配置后无法生效，建议评估升级系统。