关于网关部分产品EWEB管理系统存在SQL注入漏洞的情况通报

发布时间：2021-08-03

最新更新时间：2021-08-03

近日收到CNVD（国家信息安全漏洞共享平台）通报我司网关部分产品的EWEB管理系统存在SQL注入漏洞，CNVD临时编号为CNVD-C-2021-131826。问题表现为：在掌握设备管理员密码的条件下，攻击者可登陆并利用该漏洞获取设备信息。

一、漏洞描述

部分型号的网关EWEB管理系统存在SQL注入漏洞，在掌握设备管理员密码的条件下，攻击者可登陆并利用该漏洞获取设备信息。

二、影响范围

受该漏洞影响的产品型号与软件版本如下：

受影响产品型号

受影响软件版本

EG系列

EG2000K、EG2000L、EG2000F、EG2000CE、EG2000SE、EG2000GE、EG2000UE、EG2000XE、EG3000CE、EG3000SE、EG3000ME、EG3000GE、EG3000UE、EG3000XE、EG3210、EG3220、EG3230、EG3250、EG2000CE-CM、EG680-P、EG2100-P

RGOS11.9(4)B12P1(含)及之前版本

NBR系列

NBR800G、NBR950G、NBR1000G-E、NBR1300G-E、NBR1700G-E、NBR2100G-E

NBR2500D-E、NBR3000D-E、NBR6205-E、NBR6210-E、NBR6215-E、NBR6120-E、NBR6135-E、NBR108G-P

三、漏洞定级

该风险仅在设备登陆账户密码被攻击者掌握的前提下才会发生，若及时修改默认账号弱口令或禁止WEB访问，可规避该风险, 并且通过SQL注入获取信息有限，不会超出管理员权限范围，因此该漏洞风险可控。按照《GBT 30279-2013 信息安全技术安全漏洞等级划分指南.pdf》定义，此漏洞等级为“低危”。

四、漏洞规避方案

1、修改web界面超级管理员认证的密码，并具备复杂度，不易被攻击者破解：

2、设置管理主机，禁止非设备管理用户登录设备WEB系统（如下图添加管理主机限制配置）：

命令行：

Config

control-plane

security deny lan-web

security deny wan-web

security web permit 192.168.1.2（192.168.1.2此处设置为管理ip）

五、漏洞解决方案

请用户及时下载版本，升级系统，修复漏洞。

产品型号

修复版本

EG系列

EG2000CE EG2000SE

EG2000SE; EG2000XE; EG2000UE; EG2000CE-CM; EG2000K; EG2000L; EG2000F; EG2000GE

EG3000XE; EG3000UE; EG3000CE EG3000;SE; EG3000GE; EG3000ME

EG2100P;EG680-P

EG3250;EG3230;EG3220; EG3210

升级RGOS11.9(4)B12P3及以上版本解决。

下载链接：

EG系列：https://www.ruijie.com.cn/fw/rj-first-2348/(注：需下载最新2021年7月28日发布版本)

NBR系列: https://www.ruijie.com.cn/fw/rj-first-2357/(注：需下载最新2021年7月28日发布版本)

NBR系列

NBR1000G-E;NBR6120G-E

NBR2100G-E;NBR6205-E

NBR2500D-E;NBR6210G-E

NBR3000D-E;NBR6215G-E

NBR1700G-E;NBR6135G-E

NBR1300G-E;NBR950G

NBR800G;NBR108G-P

六、后续改善计划

锐捷网络会持续跟进该漏洞的最新动态，请您关注锐捷网络的官网、官微的公告内容。有任何关于此次漏洞修复的问题，可以通过以下方式联系我们：

锐捷售前咨询热线：4006-208-818

锐捷售后咨询热线：4008-111-000

锐捷睿易咨询热线：4001-000-078

锐捷网络官网：www.ruijie.com.cn

关注锐捷

: 关注锐捷官网微信
随时了解公司最新动态

成功案例

关于网关部分产品EWEB管理系统存在SQL注入漏洞的情况通报

请选择服务项目