华三上网行为审计（设备过保）扫描出多个高危漏洞

一、漏洞风险说明（扫描 80 端口 Web 管理界面触发）

1. 2 个高危 lighttpd 漏洞（设备底层 Web 服务，风险极高）

1. CVE-2018-19052 路径遍历漏洞
   底层 lighttpd 的 mod_alias 模块存在目录穿越，攻击者无需认证即可读取设备系统任意配置文件（账号密码、NAT、策略、日志），可窃取设备管理权限。
2. CVE-2019-11072 输入验证错误漏洞
   恶意构造 HTTP 请求触发缓冲区异常，可实现远程拒绝服务（设备 Web 管理卡死、业务断流），极端场景可配合其他漏洞实现远程代码执行。

官方说明：这两个漏洞仅能通过升级固件彻底修复，无独立补丁包，R6609 属于老旧基线，内置 lighttpd 版本存在缺陷。

2. 多条中危 jQuery XSS 跨站脚本漏洞（Web 管理界面前端）

二、分两套解决方案（优先方案：升级固件根治；备选：过保临时规避加固）

方案一：根治方案 —— 升级至修复漏洞的正式版本（推荐，等保 / 漏扫必选）

1. 目标升级基线

2. 过保设备获取固件渠道

1. 联系 H3C 经销商 / 400 售后
   设备过保不影响获取修复漏洞的安全版本固件，提供设备 SN 码即可申请对应 BIN 升级包；400 热线 400-810-0504，说明 “漏扫高危漏洞需安全版本升级”。
2. 知了社区工程师资源
   知了社区搜索SecPathACG1000-IMW110，工程师分享合规稳定修复版固件，注册账号即可下载附件。
3. 合作伙伴账号下载
   合作伙伴账号登录 H3C 软件下载中心，路径：安全→ACG1000 系列，下载 IMW110 最新安全版本。

3. 升级前置操作（避免配置丢失 / 变砖）

1. 完整备份当前配置、特征库、审计日志策略；
2. 确认设备 Flash 剩余空间≥200MB；
3. 业务低峰期操作，Console 线全程连接，防止升级中断；
4. 主备 ACG 场景：先升级备机，切换业务后再升级主机。

4. 升级验证

方案二：过保无法升级时，临时多层加固规避（仅应急，无法消除漏洞，只能缩小攻击面）

第一层：严格限制 ACG Web 管理访问源（核心防护）

1. 设备本地配置 ACL，仅允许内网堡垒机 / 运维 PC 访问 80/443 管理端口

2. 关闭 HTTP 明文管理，仅启用 HTTPS 443

第二层：上游防火墙边界拦截（你组网有 F5000 防火墙）

1. F5000 域间策略：禁止 Untrust（外网）访问 ACG 任何管理端口 80/443/22/23；
2. 内网 Trust 域增加控制：仅运维网段放行 ACG 管理 IP，业务终端网段拦截访问 ACG 管理地址；
3. 若 ACG 有公网映射，立即删除 ACG 管理地址的 NAT 内部服务器映射，禁止外网直达设备 Web。

第三层：运维操作安全规范，缓解 jQuery XSS 风险

1. 仅通过堡垒机跳转登录 ACG 后台，禁止员工直接终端访问 Web 界面；
2. 管理员登录后不点击陌生链接、不复制粘贴外网内容至 ACG 页面；
3. 缩短 Web 会话超时时间（配置为 5 分钟自动登出）；

第四层：辅助加固

1. 修改设备默认管理员账号，使用高强度复杂密码，开启密码复杂度校验；
2. 关闭设备 Telnet，仅保留 SSH 加密管理；
3. 定期导出审计日志，监控异常访问 ACG 管理端口行为。

三、组网适配补充（参考你之前 F5000+ACG 主备组网）

1. 主备两台 ACG 必须同步配置 ACL 访问限制、关闭 HTTP 服务；
2. 核心 S7506XG IRF 交换机配置 ACL，业务 VLAN 禁止访问 ACG 管理 IP；
3. 漏扫服务器仅允许单独运维 IP 访问 ACG，漏扫完成后临时回收权限。

四、风险对比总结

五、整改交付建议（给安全 / 等保报告）

1. 优先推进固件升级作为正式整改措施，升级后复测漏扫提供无漏洞报告；
2. 若短期无法升级，提交《临时安全加固方案》，附上 ACL 配置、边界拦截策略截图作为过渡整改材料；
3. 同步申请设备维保续费，获取官方长期版本更新与安全漏洞技术支撑。