一、漏洞概述

近期，锐捷公司收到反馈个别用户因 EG/NBR 产品历史漏洞遭到攻击。经排查，此安全漏洞存在于 EG/NBR 部分产品的特定历史版本（即11.x 版本存在远程代码执行漏洞）。已于 2020 年 5 月发现并第一时间发布了漏洞规避方案与修复版本，并通过产品云端、锐捷官网及国家公开平台（CNVD）发布了漏洞通告，为客户提供版本升级等技术支持，协助用户开展漏洞修复工作。

为了保护各单位设备的安全运行，建议您根据使用的产品型号，下载对应版本进行升级，升级后即可避免受到漏洞影响。

二、漏洞详情

在设备 Web 管理权限未进行访问限制时才会受此漏洞影响（尤其设备Web 管理权限开放到互联网情形下风险更高），在此特定场景下攻击者可利用漏洞对 EG/NBR 设备进行高危操作。

漏洞影响范围：

RG-NBR系列

RG-NBR108G -P、RG-NBR1000G-E、RGNBR1300G-E、RG-NBR1700G-E、RG-NBR2100GE、RG-NBR2500D-E、RG-NBR3000D-E、RGNBR6120 -E、RG- NBR6135 -E、RG-NBR6205 -E、RGNBR6210-E、RG- NBR6215 -E、RG-NBR800G、RGNBR950G、RG-NBR1000G-C/ RG-NBR2000G-C/RG-NBR3000G-S

RG-EG系列

RG-EG1000C、RG-EG2000F、RG- EG2000K、RGEG2000L、RG- EG2000CE、 RG- EG2000S E、RGEG2000GE、RG- EG2000XE、RG- EG2000UE、RGEG3000CE、RG-EG3000SE、RG- EG3000GE、RGEG3000ME、RG-EG3000UE、RG- EG3000XE、RGEG2100 -P、RG- EG3210、RG- EG3220、RGEG3230、RG- EG3250

涉及软件版本

11.9(4)B12P1（含）之前版本，2020 年 5 月之后正式发布的版本均不受影响。

三、处置建议

1.建议使用 RGOS 11.9(6)B13P1 及之后正式版行系统升级

2.关闭 Web 访问权限或设置 Web 访问白名单。

3.升级后修改设备 Web 管理密码、SSH 密码、TELNET 密码、VPN 密码（包括 VPN 用户的密码）。密码强度要求至少 8位、由大小写字母、数字、特殊符号组成。