新华三 Web 网管系统任意文件上传漏洞（0day 漏洞）

什么型号设备，漏洞cve发一下

新华三 Web 网管 /webui/?g=net_dynamic_pop_adv_submit 任意文件上传漏洞完整处置方案
一、漏洞基础信息
漏洞接口：/webui/?g=net_dynamic_pop_adv_submit
风险等级：高危（0day 未官方披露 CVE 编号）
攻击逻辑：登录状态下上传文件无后缀白名单校验，可上传 php 后门，获取服务器控制权限；无账号仅内网环境风险可控，暴露互联网极易被批量扫描利用。
受影响产品：带 /webui 动态业务页面的 H3C Web 网管（小型 ER/GR 企业路由器、Mini 系列、部分 AC 防火墙嵌入式 Web 管理页面，iMC/U-Center 无此接口），网传标注 “全版本” 为情报扫描结论，无官方完整受影响清单。
二、三层防护方案（临时拦截→网络 ACL 隔离→彻底升级根治）
方案 1：WAF / 防火墙 URL 临时拦截（最快，等保应急首选）
1）防火墙 / 边界 WAF 拦截规则（匹配 POST 上传请求）
匹配 URL 关键字：/webui/?g=net_dynamic_pop_adv_submit
匹配请求方法：POST（上传仅 POST 触发漏洞）
动作：丢弃、记录攻击日志、阻断源 IP（可选）
H3C 防火墙 F1000/M9000 配置示例
plaintext
# 创建URL过滤模板
url-filter template UPLOAD_BLOCK
rule 10 match url contain net_dynamic_pop_adv_submit action drop log
# 绑定到互联网边界安全域
security-policy zone Untrust to Trust
rule 100 url-filter apply UPLOAD_BLOCK

2）前端 Web 服务器 Nginx/Apache 拦截（设备上层转发场景）
Nginx 配置片段：
nginx
if ($request_uri ~* "net_dynamic_pop_adv_submit") {
return 403;
}

方案 2：网络层隔离加固（缩小攻击面，长效辅助防护）
禁止公网暴露 Web 管理端口
边界防火墙 ACL 拦截外网访问设备 80/443 管理端口，仅内网运维 VLAN 放行。
设备本地关闭闲置 Web 功能
设备 CLI 关闭 HTTP/HTTPS，仅 Console+SSH 运维：
plaintext
undo ip http enable
undo ip https enable

管理 IP 白名单
设备配置 SSH/Web 访问 ACL，仅运维办公 IP 可登录后台：
plaintext
acl basic 2000
rule permit source 192.168.1.0 0.0.0.255
rule deny
ip http acl 2000
ip https acl 2000

方案 3：彻底根治（唯一永久修复手段，临时拦截仅缓解）
联系 H3C 400 售后
提供设备型号（ER/GR/Mini/AC）、当前固件版本，申请官方安全修复补丁 / 升级固件；该 0day 无公开通用补丁，必须厂商定制修复包。
升级操作前置
备份设备完整配置；
升级完成后复测漏洞扫描，确认上传接口已做文件后缀强校验（禁止 php、asp 等脚本）。
无补丁兜底方案
业务允许情况下永久关闭设备 Web 管理，全程仅 SSH/Console 运维，直接消除漏洞入口。
三、补充安全加固配套措施
后台账号加固
修改默认 admin 账号密码，启用强复杂度密码，限制登录失败 3 次锁定。
内网监控
边界防火墙开启攻击日志审计，定期检索 net_dynamic_pop_adv_submit 访问记录，排查渗透尝试。
等保复测要求
短期：WAF 拦截规则截图 + 漏洞复测报告，完成应急整改；
长期：厂商补丁升级 + 关闭不必要 Web 端口，彻底消除漏洞风险。
四、风险提醒
URL 拦截仅阻断漏洞利用，无法修复代码底层缺陷，仅作临时过渡方案，不能作为最终整改交付；
未登录状态下该上传接口无法利用，但内网攻击者获取账号后可直接上传后门，内网同样存在入侵风险；
不要依赖第三方非官方补丁，存在后门风险，仅使用新华三原厂发布修复固件。