专栏名称: 微步在线研究响应中心
微步情报局最新威胁事件分析、漏洞分析、安全研究成果共享，探究网络攻击的真相
目录
相关文章推荐
君哥说房  ·  2025番禺最值得买的房子原来是它 ·  14 小时前  
君哥说房  ·  2025番禺最值得买的房子原来是它 ·  14 小时前  
财宝宝  ·  #DeepSeek给出周末不虚度指南# ... ·  22 小时前  
财宝宝  ·  在潮汕扛旗的女子是有要求的，本地大户，待字闺 ... ·  21 小时前  
禽报网  ·  鸡报•2-22\\出栏情绪有变，压价变加价； ... ·  昨天  
财宝宝  ·  流鼻血了-20250220114111 ·  3 天前  
51好读  ›  专栏  ›  微步在线研究响应中心

【更新】H3C-CAS虚拟化管理系统文件上传漏洞

微步在线研究响应中心  · 公众号  ·  · 2024-05-11 14:01

正文


漏洞概况


H3C-CAS虚拟化管理系统是新华三集团推出的一套面向企业级用户的云计算解决方案，旨在帮助企业构建高效、灵活、可靠的云计算环境。

微步漏洞团队通过“X 漏洞奖励计划”获取到H3C-CAS虚拟化管理系统文件上传漏洞情报（https://x.threatbook.com/v5/vul/XVE-2023-35299） ， 该漏洞利用难度低，攻击者可利用该漏洞绕过鉴权，上传恶意文件，从而获取服务器权限。经过分析和研判，建议尽快修复 。

漏洞处置优先级(VPT)


综合处置优先级： 高

基本信息

微步编号

XVE-2023-35299
漏洞类型
文件上传

利用条件评估

利用漏洞的网络条件

远程

是否需要绕过安全机制

不需要

对被攻击系统的要求

默认配置

利用漏洞的权限要求

无需任何权限

是否需要受害者配合

不需要

利用情报

POC是否公开

否
微步已捕获攻击行为
否


漏洞影响范围



产品名称

H3C-CAS虚拟化管理系统

受影响版本

  • E0535H03之后的5.0版本

  • E0730P11H07之前版本

  • E0760P03H08之前版本

  • E0783之前的版本

注 ：2.0、3.0均不涉及

影响范围

该产品公网部署较少，大都部署于内网

有无修复补丁

有


前往X情报社区资产测绘查看影响资产详情：

https://x.threatbook.com/v5/survey?q=app%3D"H3C-CAS"


漏洞复现



修复方案


官方修复方案：

H3C通告链接：

ht tps://www.h3c.com/cn/Service/Online_Help/psirt/security-notice/detail _2021.htm?Id=125
受影响的用户建议 在线升级 至以下安全版本：

  • E0730P11H07

  • E0760P03H08

  • E0783

  • E9003H01-UPLOAD版本


临时修复方案：

  • 使用防护类设备对相关资产进行防护

  • 如非必要，避免将资产暴露在互联网


微步产品侧支持情况


  • 微步威胁感知平台TDP已支持检测，检测规则ID为 S3100135233、S3100135307、S3100135204， 模型/规则高于20231212000000可检出。


  • 微步安全情报网关OneSIG已支持防护，防护规则ID为 3100135233、3100135307、3100135204。


时间线


  • 2023.11 微步"X漏洞奖励计划"获取该漏洞相关情报

  • 2023.12 TDP和OneSIG支持检测和防护
  • 2024.03 厂商发布补丁
  • 2024.04 微步发布报告

  • 2024.05 微步发布更新报告



网安人不容错过的年度盛会——CSOP 2024 · 深圳站正在火热报名中，只有干货，席位紧俏。扫码立即报名 ↓ ↓ ↓







请到「今天看啥」查看全文


推荐文章
君哥说房  ·  2025番禺最值得买的房子原来是它
14 小时前
君哥说房  ·  2025番禺最值得买的房子原来是它
14 小时前
财宝宝  ·  #DeepSeek给出周末不虚度指南# 。泼妇让我同意她买这个。-20250222151707
22 小时前
财宝宝  ·  在潮汕扛旗的女子是有要求的，本地大户，待字闺中，端庄大气。以后内-20250222155905
21 小时前
禽报网  ·  鸡报•2-22\\出栏情绪有变，压价变加价；产品市场仍有期待，多点依旧承压！
昨天
财宝宝  ·  流鼻血了-20250220114111
3 天前
创业邦  ·  一周怪现象｜罗父再度刷新三观，好在有《你的名字》和“维密”治愈我纯洁的内心
8 年前
詹姆士的厨房  ·  做出这道菜，你会踩着七色云彩来娶我吗？ | 云彩蛋
8 年前
火影忍者  ·  要不要来试试你的日语等级？
7 年前
掌上太原  ·  太原至延安的高铁要开工了，据说沿路的美景还真不少~
7 年前
新康界  ·  2017上半年FDA药物审批分析：谁会是未来的重磅炸弹
7 年前
Sov5搜索   ·   小百科   ·   今天看啥   ·   移动版
51好读 - 好文章就要读起来!