CAS785P03H09版本被扫描到大量VNC漏洞，怎么进行整改？

漏洞根源说明

1. 当前 CAS 未开启 VNC 代理，浏览器打开虚拟机控制台时，客户端直接和宿主机 CVK 的 5900~5999 原生 VNC 端口打通；每台虚拟机占用一个 59xx 端口，大量端口暴露在业务网段，可被外部直接扫描、发起认证绕过攻击。
2. CVK 宿主机原生 VNC 服务未做访问控制、无加密，符合老旧 RealVNC 漏洞特征，安全扫描判定高危漏洞。
3. CAS 内置 VNC 基于 libvncserver，继承老旧 RFB 协议缺陷，无法单独给每个 VNC 实例打 CVE-2006-2369 补丁，根治方案是关闭 CVK 全网段 59xx 端口对外直连，改用 CVM 代理转发控制台。

方案一：根治整改（推荐，漏洞彻底消除，等保合规）

步骤 1：CVM 平台开启全局 VNC 代理（核心，封堵 CVK 所有 59xx 端口暴露）

1. 登录 CAS CVM 管理界面 → 系统管理 → 参数配置
2. 找到【VNC 代理服务器】，开启代理，代理 IP 填写CVM 管理节点 IP
3. 保存配置，生效规则：
   后续所有网页控制台、iClient 打开虚拟机控制台，流量统一经过 CVM 8081 端口代理转发，不再直接连通后端 CVK 的 5900~5999 端口。
4. 防火墙安全策略改造：
   • 删除全网所有放行 CVK节点 5900-5999 的安全组 / ACL 策略；
   • 仅放行运维终端 → CVM 的 8080、8443、8081 端口即可。

步骤 2：批量关闭虚拟机「独立 VNC 直通模式」

1. 批量选中所有虚拟机 → 编辑虚拟机 → 控制台 VNC
2. 取消勾选「启用 VNC 直通 / 禁用 VNC 代理」，全部统一走平台代理。
3. 已经关闭直通后，外部网络无法直接访问 CVK 的 59xx 端口，扫描器再也探测不到 VNC 服务，漏洞直接消失。

步骤 3：CVK 宿主机防火墙封禁 5900~5999 外部访问（兜底防护）

步骤 4：平台 VNC 安全加固（杜绝未授权访问）

1. 进入 CAS【系统管理→安全配置】
   • 关闭 VNC 共享模式：禁止多人同时连接同一台虚拟机控制台；
   • 开启 VNC 操作日志审计，留存控制台登录、键鼠操作记录。
2. CAS 登录账号启用强密码、开启双因素认证，避免账号泄露后攻击者通过控制台入侵虚拟机。

方案二：临时应急加固（无法改造网络策略时使用，只能缓解不能根除）

1. CVK 防火墙限制 5900-5999 仅运维管理网段可访问，业务网段、办公网段全部拦截；
2. 禁止虚拟机开启公网 NAT 映射 59xx 端口；
3. 定期更新 CAS 平台补丁至 785P06 及以上新版本，新版本优化了 libvncserver 组件，修复老旧 VNC 绕过漏洞。

方案三：彻底规避 VNC 暴露（严苛等保场景）

1. 日常运维不再使用网页 VNC 控制台，改用 SSH/RDP + 堡垒机 管理虚拟机；
2. 在 CAS 全局关闭 VNC 服务：系统参数配置关闭 VNC 代理、宿主机停止 novnc 服务；
3. 仅虚拟机故障蓝屏、无法联网时，临时打开单台虚拟机 VNC，修复完成立刻关闭。

版本升级补充（根除漏洞组件）

1. 升级路径：CAS 7.0 (785P03) → 785P06 → 最新稳定补丁版本；
2. 升级说明：新版本替换了存在漏洞的 VNC 底层组件，即使特殊场景开放 59xx 端口，也不存在 CVE-2006-2369 认证绕过风险；
3. 升级无需停机，采用滚动升级 CVK 节点即可。

整改完成验证方法

1. 使用漏洞扫描工具重新扫描 CVK 主机，5900~5911 端口不再识别出 VNC 服务；
2. 在办公电脑单独 telnet CVK_IP 5901，连接被拒绝；
3. CAS 网页控制台正常打开虚拟机，证明代理模式工作正常。

常见误区提醒

1. ❌ 不要单独修改某一台虚拟机 VNC 密码来修复 CVE-2006-2369：该漏洞是绕过密码直接进入系统，改密码无效；
2. ❌ 不要逐个修改虚拟机 VNC 端口 5900→其它端口：虚拟机越多端口越杂乱，防火墙策略难以维护；
3. ✅ 正确逻辑：切断外网直达 CVK VNC 端口的链路，由 CVM 统一代理，既保留控制台运维能力，又彻底封堵漏洞。

极简落地顺序

1. CVM 开启 VNC 代理 → 2. 删掉防火墙放行 CVK 5900-5999 策略 → 3. CVK 防火墙封禁外部访问 59xx → 4. 复测漏洞消失；
   有空余窗口再升级 CAS 补丁彻底修复 VNC 组件漏洞。