发布时间：2020-05-22
最新更新时间：2020-05-22
近日，某网络安全单位报告锐捷网络RSR20-14E/F产品，Web管理存在存在授权绕过漏洞，攻击者可利用该漏洞，在低级Web管理员账号下进行越权操作，详细情况如下：
一、漏洞说明
Web管理存在存在授权绕过漏洞，攻击者可利用该漏洞，在低级web管理员账号下进行很多越权操作。
二、影响范围
涉及产品型号、软件版本：
|
产品型号 |
软件版本 |
说明 |
|
RSR10-02E/RSR20-04E |
10.4(3b35)p5 Release(224254) 及之前的版本 |
在问题软件版本基础上，若符合以下情况，则不会触发该漏洞：
|
|
RSR20-14E/F |
10.4(3b34)p5 Release(224254) 及之前的版本 |
|
|
RSR820-T(A) |
10.4(3b64)p13Release(225021) 及之前的版本 |
|
|
RSR10-01G-T/RSR10-01G-T(A) |
||
|
RSR10-01G-T(W)/RSR10-01G-T(WA) |
三、漏洞定级
按照《GBT 30279-2013 信息安全技术 安全漏洞等级划分指南.pdf》定义，此漏洞等级为“高危”。
四、漏洞规避方案
规避方案1：Web管理员取消分级用户，只能由最高级管理员执行。
规避方案2：使用Web网页上“配置导入和导出”功能上传配置文件时，文件不大于50M，文件名称必须为config.text
规避方案3：使用Web网页中"软件升级”功能上传软件版本时，文件不大于50M，文件必须为bin文件
五、漏洞解决方案
|
产品型号 |
解决版本 |
|
RSR10-02E/RSR20-04E |
RSR10-02E/RSR20-04E 10.4(3b35)p6_R230644 最新推荐版本下载链接： https://www.ruijie.com.cn/fw/rj/57429/ |
|
RSR20-14E/F |
10.4(3b34)p6 Release230542 最新推荐版本下载链接： RSR20-14E路由器：http://www.ruijie.com.cn/fw/rj/57432/ RSR20-14F路由器：http://www.ruijie.com.cn/fw/rj/57434/ |
|
RSR820-T(A) |
10.4(3b116)及其以后版本， 最新推荐版本下载链接：http://www.ruijie.com.cn/fw/rj/83159/ |
|
RSR10-01G-T/RSR10-01G-T(A) |
10.4(3b116)及其以后版本， 最新推荐版本下载链接：http://www.ruijie.com.cn/fw/rj/57426/ |
|
RSR10-01G-T(W)/RSR10-01G-T(WA) |
待发布 |
六、后续改善计划
锐捷网络会持续进行此漏洞的升级修复，第一时间跟进最新动态。建议广大用户采纳官网下载主程序的方式进行漏洞修复，同时，请您关注锐捷网络的官网、官微的公告内容，有任何关于此次漏洞修复的问题，可以通过以下方式联系我们：
锐捷售前咨询热线：4006-208-818
锐捷售后咨询热线：4008-111-000
锐捷睿易咨询热线：4001-000-078
锐捷网络官网：www.ruijie.com.cn
锐捷网络股份有限公司
2020年5月22日
