核心交换机opssh漏洞

漏洞cve发一下

S7503X-G Comware V7 OpenSSH/SSH 弱算法等保漏洞完整修复方案
重要前置说明
H3C 交换机不是 Linux 系统，没有独立 OpenSSH 安装包，扫描报 “OpenSSH 漏洞” 本质两类问题：
弱加密 / 弱 MAC / 弱密钥交换算法（90% 等保扫描告警，配置加固即可过测）；
固件底层 SSH 组件存在官方 CVE 漏洞（必须升级固件彻底根治）。
先做配置加固临时整改复测，若仍告警再升级系统版本。
一、全套 SSH 安全加固命令（直接复制执行，解决弱算法漏洞）
1. 禁用老旧 SSH1 协议，仅保留 SSH2
plaintext
system-view
undo ssh server compatible-ssh1x enable
2. 仅保留强加密算法，剔除 DES/3DES/CBC 弱算法（核心整改项）
plaintext
ssh2 algorithm cipher aes128-ctr aes192-ctr aes256-ctr aes128-gcm aes256-gcm
移除：des-cbc、3des-cbc、aes128-cbc、aes256-cbc 等 CBC 弱加密。
3. 剔除弱哈希 MAC，仅保留 SHA2 系列
plaintext
ssh2 algorithm mac sha2-256 sha2-512
移除 md5、md5-96、sha1、sha1-96 弱哈希。
4. 密钥交换算法仅保留高强度 ECDH/Curve25519（修复弱 DH 漏洞）
plaintext
ssh2 algorithm kex curve25519-sha256 ecdh-sha2-nistp256 ecdh-sha2-nistp384 ecdh-sha2-nistp521 diffie-hellman-group16-sha512 diffie-hellman-group18-sha512 diffie-hellman-group-exchange-sha256 diffie-hellman-group14-sha256
5. SSH 登录安全限制（等保必查）
plaintext
# 最多3次密码错误断开，防暴力破解
ssh server authentication-retries 3
# 空闲超时5分钟自动踢下线
line vty 0 63
idle-timeout 5 0
authentication-mode scheme
protocol inbound ssh
quit
# SSH源IP白名单（仅允许运维网段登录，替换你的管理IP段）
acl basic 2000
rule permit source 10.0.0.0 0.255.255.255
rule deny
quit
ssh server acl 2000
# 关闭Telnet明文登录
undo telnet server enable
6. 账号安全加固
plaintext
# 管理员账号启用强密码、仅允许SSH登录
local-user admin class manage
password hash Admin@2026
service-type ssh
authorization-attribute user-role network-admin
quit
7. 保存配置
plaintext
save force
二、配置加固后复测仍告警：升级固件彻底修复底层 OpenSSH 组件漏洞
1. 版本要求
S7503X-G 原生 V7 固件内置 SSH 底层组件，老旧 R81xx/R82xx 基线存在 SSH 底层 CVE（如 regreSSHion 等 OpenSSH 同款漏洞），升级至 R8305P05 及以上稳定版本：
底层 SSH 加密库、密钥协商组件同步更新，彻底消除 OpenSSH 系列 CVE 告警；
内置完整强算法默认配置，无需手动大量删减弱算法。
2. 升级操作流程
Console 登录，备份当前配置；
TFTP 上传对应 S7503X-G IPE 固件包；
指定下次启动文件：
plaintext
startup system-software flash:/S7503X-G-R8305P05.ipe
display startup
reboot
重启完成后，重新执行上面加固命令，复测等保扫描。
三、复测验证命令
plaintext
# 查看SSH完整算法配置
display ssh server
# 查看在线SSH会话
display ssh server session
# 查看VTY线路配置
display current-configuration line vty
四、等保整改交付材料说明
加固配置完整截图；
升级前后版本对比截图（若升级固件）；
复测漏洞扫描报告，漏洞已消除；
运维操作记录（变更单、升级日志）。
五、快速区分故障场景
扫描提示：弱 CBC 加密、弱 SHA1/DH 算法 → 执行上面配置加固即可通过；
扫描提示明确 CVE 编号（CVE-2024-6387 等 OpenSSH 高危漏洞）→ 必须升级固件，仅配置无法修复底层组件漏洞。