锐捷网络关于出口网关EG、NBR设备部分型号10.x版本存在命令执行漏洞的通告

近日，锐捷网络收到CNVD（国家信息安全漏洞共享平台，China National Vulnerability Database，简称CNVD）发出的锐捷网络部分网关设备存在命令执行漏洞的通告（CNVD-2021-16886），发现有部分黑客在互联网上公布了我司EG和NBR设备老漏洞的利用代码和工具，开展网络攻击行动。

早在2018年我们已发现此漏洞并完善相关处理措施及漏洞修补方案，本着为客户负责的态度，我们再次发布此声明，建议您通过官网下载主程序进行漏洞修复，给您带来工作上的不便，致以深深的歉意。目前，锐捷网络已经对其它产品线进行安全自查，截至目前，暂未发现此漏洞。详细情况如下：

一、影响范围

目前仅网关产品的10.x早期老版本存在此问题，11.x版本未发现此问题，请放心使用。

涉及产品如下：

EG系列：RG-EG1000C、RG-EG1000M、RG-EG1000S、RG-EG1000L、RG-EG1000CM

NBR系列(第二代NBR)：RG-NBR1000G、RG-NBR1300G、RG-NBR1500G、RG-NBR2000G、RG-NBR2000D

二、漏洞说明

RG-EG/NBR系列路由器存在命令执行漏洞，攻击者可利用该漏洞获取服务器控制权限。该问题产生原因是设备默认存在的账号密码未及时修改导致被恶意操控。

三、漏洞等级

该风险仅在设备WEB页面可访问且取得设备登录管理条件下发生。若及时修改默认账号弱口令或禁止WEB访问，则不存在该风险。按照《GBT 30279-2013 信息安全技术 安全漏洞等级划分指南.pdf》定义，此漏洞等级为“低危”。

既：可远程操作、利用方式简单、对客户设备和网络无影响、仅可能影响远程访问此设备的网络管理员。

四、漏洞规避方案

方案一：关闭web服务

关闭Web服务，通过Telnet或Console在config模式下敲入“no enable service web-server all”进行关闭；

方案二：修改系统web网管默认账号（admin/manager/guest）至少10位的web登陆密码，最好包括特殊字符，修改位置：“高级”-“管理员权限”：

五、漏洞彻底解决方案

漏洞修补方案：升级RGOS 10.3(4b11)p5T11

位置：高级选项-系统升级

备注：如果设备配置文件里已经有默认manager/guest账号，升级版本不会默认删除，要手动去删除（位置：“高级”-“管理员权限”）。

锐捷官网可获取此版本：

NBR：https://www.ruijie.com.cn/fw/rj-cp-nbr2/

EG: https://www.ruijie.com.cn/fw/rj-cp-eg1000/

六、后续改善计划

本着对客户负责的态度，建议广大用户采纳官网下载主程序的方式进行漏洞修复，同时，请您关注锐捷网络的官网的公告内容，有任何关于此次漏洞修复的问题，可以通过以下方式联系我们：

锐捷网络售后热线：4008-111-000

锐捷睿易售后热线：4001-000-078

锐捷网络官网：www.ruijie.com.cn

锐捷网络高度重视并珍惜客户的信任，并将通过不断的自我完善，继续为各行业客户带来高品质的产品和服务。

锐捷网络股份有限公司

2021年4月14日