M9000 832端口漏洞

漏洞cve发一下 

M9000 832 端口 “目标主机支持 RSA 密钥交换” 漏洞分析
漏洞含义：TLS 握手允许纯 RSA 密钥交换套件（rsa_aes_128_cbc_sha/rsa_aes_256_cbc_sha），该类套件没有前向保密 PFS，私钥泄露可解密历史流量，扫描报中危风险。
你的配置问题
shell
ssl server‑policy secure‑policy
ciphersuite rsa_aes_128_cbc_sha rsa_aes_256_cbc_sha
quit
netconf soap https ssl‑server‑policy secure‑policy
ip https ssl‑server‑policy secure‑policy
❌你现在策略里面放的恰恰就是漏洞报的纯 RSA 密钥交换套件！这样配置漏洞不会消除，反而只保留了风险套件。
要修复该漏洞：策略里不能有任何rsa_xxx开头（密钥交换为 RSA）的套件，只能保留 ECDHE‑RSA / DHE‑RSA 系列（带临时密钥，具备前向保密）。
关键：能不能不关闭 832（不执行undo netconf soap https enable永久关闭）
✅可以不永久关闭 832 端口，保留 NETCONF SOAP HTTPS 服务；
但是修改 / 绑定 ssl‑server‑policy 时，必须临时执行一次undo netconf soap https enable再重新 enable，新 SSL 策略才会加载到 832 端口，这个是 ComwareV7 硬性约束，不是永久关闭，只是瞬时重启服务，会断开现有 netconf 会话，端口 832 监听还在。
官方手册明确：netconf soap https 已经 enable 状态下，不能直接绑定 ssl 策略；必须临时关闭再打开，策略才生效，832 端口不会永久消失。
只敲netconf soap https ssl‑server‑policy secure‑policy，不做一次 disable/enable，832 端口仍然使用系统默认 SSL 套件，自定义策略不生效，扫描漏洞依旧存在。
完整正确加固配置（M9000 Comware V7，保留 832 端口）
shell
system‑view
# 1、新建SSL服务器策略，清空全部套件，只保留ECDHE/DHE（前向保密套件，无纯RSA密钥交换）
ssl server‑policy secure‑policy
undo ciphersuite all
# 只保留ECDHE‑RSA、DHE‑RSA密钥交换的安全套件
ciphersuite ecdhe_rsa_aes_128_gcm_sha256
ciphersuite ecdhe_rsa_aes_256_gcm_sha384
ciphersuite dhe_rsa_aes_128_gcm_sha256
ciphersuite dhe_rsa_aes_256_gcm_sha384
# 禁用老旧TLS版本，只保留TLS1.2
ssl version tls1.0 disable
ssl version tls1.1 disable
quit

# 2、443 Web管理HTTPS绑定策略，需要重启https服务
undo ip https enable
ip https ssl‑server‑policy secure‑policy
ip https enable

# 3、832 NETCONF SOAP‑HTTPS绑定策略，必须临时关闭再开启使策略生效（端口不会永久关闭）
undo netconf soap https enable
netconf soap https ssl‑server‑policy secure‑policy
netconf soap https enable
⚠️注意：undo netconf soap https enable只是瞬时关闭服务，紧接着执行 enable，832 端口继续监听，业务保留；不是永久关闭 832。
如果你只执行绑定命令，不做这一闭一开，832 端口继续跑默认 SSL 套件，加固无效。
验证命令
bash
# 查看ssl策略套件配置
display ssl server‑policy secure‑policy
# 确认832端口监听
display tcp brief
# 确认netconf soap https状态是enabled
display netconf service
扫描验证：使用 nmap 脚本扫描：nmap --script ssl‑enum‑ciphers -p 832 设备IP，输出结果不出现RSA密钥交换套件即为修复成功。
补充说明
如果你业务完全不用 NETCONF SOAP HTTPS，可以直接undo netconf soap https enable永久关闭 832 端口，漏洞直接消失，这是最彻底方案。
M9000 双机 IRF 环境，以上配置需要同步到主备，执行完观察 832 端口监听。
该加固不需要升级版本，纯配置实现；如果你的版本过低不支持 gcm 套件，需要升级版本。
总结
你原来配置的 ciphersuite 是漏洞对应的不安全套件，不能用；需要替换为 ECDHE/DHE 系列套件。
可以不永久关闭 832 端口，但是绑定 ssl‑server‑policy 时，必须临时执行undo netconf soap https enable再netconf soap https enable让策略加载，端口会继续工作。
只敲绑定命令不重启 netconf soap https 服务，832 端口不会加载自定义 SSL 策略，漏洞依旧存在。