• 漏洞编号：CVE-2023-38902
• 漏洞类型：命令注入
• 漏洞等级：高危
• 发布时间：2023-08-18

漏洞描述

8月18日，赛克艾威网络安全实验室监测到锐捷网络多个系列产品中存在命令注入漏洞（CVE-2023-38902），目前该漏洞的细节及PoC已公开。

漏洞危害

锐捷网络多个系列产品中存在命令注入漏洞（CVE-2023-38902），目前该漏洞的细节及PoC已公开，该漏洞是在/usr/sbin/unifyframe-sgi.elf文件中存在命令注入漏洞，经过身份验证的威胁者可向/cgi-bin/luci/api/cmd发送 POST 请求，通过remoteIp字段注入命令，成功利用该漏洞可能导致在设备上执行任意命令。

影响版本

RG-EW系列路由器和中继器固件版本：EW_3.0(1)B11P219

RG-NBS和RG-S1930系列交换机固件版本：SWITCH_3.0(1)B11P219

RG-EG系列商业VPN路由器固件版本：EG_3.0(1)B11P219

RG-EAP和RG-RAP系列无线AP固件版本：AP_3.0(1)B11P219

RG-NBC系列无线控制器固件版本：AC_3.0(1)B11P219

修复建议

1. 目前该漏洞已经修复，受影响用户可升级到相应产品的最新固件版本:https://www.ruijie.com.cn/fw/rj-first-2357/

2. 加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。

3. 使用企业级安全产品，提升企业的网络安全性能。

4. 加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。

5. 启用强密码策略并设置为定期修改。