Il y a une vulnérabilité sur switch & AR & FW pour référence

【Description du problème】

Le transfert IP (IP forwording) est activé sur l'hôte distant. Un attaquant peut exploiter ceci pour acheminer des paquets à travers l'hôte et potentiellement contourner certains pare-feu / routeurs / filtrage NAC.

À moins que l'hôte distant ne soit un routeur, il est recommandé de désactiver la transmission IP.

Le serveur SSH est configuré pour prendre en charge le chaînage des blocs de chiffrement (CBC).

cryptage. Cela peut permettre à un attaquant de récupérer le message en texte brut

à partir du texte chiffré.

Notez que ce plugin ne vérifie que les options du serveur SSH et

ne vérifie pas les versions de logiciels vulnérables.

Le serveur SSH distant est configuré pour autoriser les adresses MAC MD5 ou 96 bits.

algorithmes, qui sont considérés comme faibles.

Notez que ce plugin ne vérifie que les options du serveur SSH,

et il ne vérifie pas les versions de logiciel vulnérables.

【Description de la solution】Transfert IP activé

Synopsisin fichiers client xlsx:

L'hôte actif a le transfert IP activé. Un attaquant peut exploiter

ceci pour acheminer des paquets à travers l'hôte et potentiellement contourner certains

pare-feu / routeurs / filtrage NAC.

À moins que l'hôte distant ne soit un routeur, il est recommandé de désactiver la transmission IP.

Veuillez noter que si le commutateur, le pare-feu et le routeur utilisent la fonction de routage, 

veuillez ne pas la désactiver, sauf si le périphérique fonctionne en tant que commutateur ou hôte L2.

http://support.huawei.com/hedex/pages/EDOC100017784031189651/04/EDOC100017784031189651/04/resources/dc/ip_forwarding_disable.html?ft=0&fe=10&hib=14.1.7.8.34&id=ip_forwarding_disable&text=ip%20forwarding%20disable&docid=EDOC1000177840

1 - Cryptage SSH

1) Le serveur SSH est configuré pour prendre en charge le chaînage des blocs de chiffrement (CBC). Cela peut permettre à un attaquant de récupérer le message en clair à partir du texte chiffré.

Pour le commutateur s'il vous plaît faire référence pour changer les commandes ci-dessous :

<HUAWEI> system-view

[HUAWEI] ssh server cipher aes256_ctr aes128_ctr

http://support.huawei.com/hedex/pages/EDOC1000135317AEG0221R/06/EDOC1000135317AEG0221R/06/resources/dc/ssh_server_cipher.html?ft=0&fe=10&hib=14.1.3.6.53&id=ssh_server_cipher&text=ssh%20server%20cipher&docid=EDOC1000135317

2) Le serveur SSH distant est configuré pour autoriser les adresses MAC MD5 ou 96 bits.

Algorithmes, qui sont considérés comme faibles.

Pour le commutateur s'il vous plaît faire référence pour changer les commandes ci-dessous :

<HUAWEI> system-view

[HUAWEI] ssh server hmac sha2_256

http://support.huawei.com/hedex/pages/EDOC1000135317AEG0221R/06/EDOC1000135317AEG0221R/06/resources/dc/ssh_server_hmac.html?ft=0&fe=10&hib=14.1.3.6.55&id=ssh_server_hmac&text=ssh%20server%20hmac&docid=EDOC1000135317