国产精品导航一区二区丨动漫成人无码精品一区二区三区丨久久国内精品自在自线波多野结氏丨久久久久久久久久久网站丨亚洲日韩乱码中文无码蜜桃臀网站丨午夜成人无码福利免费视频丨最新中文乱码字字幕在线丨夜夜骑夜夜操丨久久久久久久久久久av丨女人久久丨日本乱偷互换人妻中文字幕丨日本猛少妇色xxxxx猛交图片丨亚洲欧洲精品成人丨国产人成高清在线视频99最全资源丨91文字幕巨乱亚洲香蕉丨日本欧美视频在线观看丨三级黄毛片丨114一级片丨成人免费午夜福利片在线观看丨国产主播福利在线丨黄色的一级片丨久久99国产精品女同丨三区四区丨久久精品视频一区二区三区丨日韩一区二区三区在线视频

安全公告編號:CNTA-2017-0033

近日，國家信息安全漏洞共享平臺（CNVD）收錄了部分廠商設備存在的SNMP協議社區字符串認證權限繞過漏洞（CNVD-2017-05535，對應CVE-2017-5135，發現者命名為“StringBleed”）。攻擊者可利用任意字符串或整數值來繞過SNMP的訪問控制，在MIB（管理信息庫）中寫入任意字符串，從而獲得設備的敏感信息。

一、漏洞情況分析

簡單網絡管理協議（SNMP）由一組網絡管理的標準實現組成，包含一個應用層協議（application layer protocol）、數據庫模型（database schema）和一組資源對象。MIB（Management Information Base）是設備的管理對象信息庫（或稱數據庫），它包括SNMP可以通過網絡設備的SNMP管理代理進行設置的變量。SNMP 協議V1和V2版本在設備中實現時是通常使用Community String "社區字符串"來進行客戶端的身份驗證，而在V3版本中則可以由客戶配置選擇用戶名、密碼以及其他身份驗證的方式，而對象標識符（OIDs）等內容信息則會保存在管理信息庫（MIB）之中。

SNMP v1和v2版本所使用的身份驗證機制只能接受保存在SNMP代理驗證機制中的數據值，?而V1和V2版本在多個廠商設備實現時存在一個遠程代碼執行漏洞，利用特定構造的字符串或整數值可繞過SNMP的訪問控制，然后在MIB（管理信息庫）中寫入任意字符串。這樣攻擊者就可以在不用去嘗試community string的情況下從目標設備中獲取到類似用戶密碼這樣的敏感信息。

CNVD對該漏洞的綜合評級為“高危”。

二、漏洞影響范圍

漏洞存在于應用SNMPv1版本和v2版本的多個廠商網絡設備中，國外漏洞發現者的測試實例是CISCO DPC3928SL。根據CNVD秘書處抽樣測試結果，已經在多個互聯網實例中抽樣驗證存在風險。根據不完全統計，有超過100種網絡設備受到StringBleed漏洞影響，影響的產品類型包括路由器（無線、有線）、VoIP網關、其他撥號網關等，相關設備型號列舉如下：

5352\BCW700J\BCW710J\BCW710J2\C3000-100NAS\CBV734EW\CBV38Z4EC\CBV38Z4ECNIT\CBW383G4J\CBW38G4J\CBW700N\CG2001-AN22A\CG2001-UDBNA\CG2001-UN2NA\CG2002\CG2200\CGD24G-100NAS\CGD24G-1CHNAS\CM5100\CM5100-511\CM-6300n\DCX-3200\DDW2600\DDW2602\DG950A\DPC2100\DPC2320\DPC2420\DPC3928SL\DVW2108\DVW2110\DVW2117\DWG849\DWG850-4\DWG855\EPC2203\EPC3212\IB-8120-W21\IB-8120-W21E1\MNG2120J\MNG6200\MNG6300\SB5100\SB5101\SB5102\SBG6580\SBG900\SBG901\SBG941\SVG1202\SVG2501\T60C926\TC7110.AR\TC7110.B\TC7110.D\TC7200.d1I\TC7200.TH2v2\THG540\THG541\Tj715x\TM501A\TM502B\TM601A\TM601B\TM602A\TM602B\TM602G\TWG850-4U\TWG870\TWG870U\U10C019\U10C037\VM1700D\WTM552G\WTM652G\DCM-704\DCM-604\DG950S

三、防護建議

目前，包括思科在內的多個設備廠商產品都受到漏洞影響，建議設備用戶檢查配置情況，啟用SNMPv3進行身份驗證。

附：參考鏈接：

http://www.cnvd.org.cn/flaw/show/CNVD-2017-05535

https://stringbleed.github.io/