H3C SECPATH1010F_WiNet-CMW710-R9560P43 版本说明书

目  录

1 版本信息·· 1

1.1 版本号·· 1

1.2 历史版本信息·· 1

1.3 版本配套表·· 2

1.4 版本升级注意事项·· 5

2 硬件特性变更说明·· 5

2.1 R9524P29版本硬件特性变更说明·· 5

3 软件特性及命令行变更说明·· 5

4 MIB变更说明·· 6

5 操作方式变更说明·· 8

6 版本使用限制及注意事项·· 8

6.1 使用限制·· 8

6.2 注意事项·· 8

7 License管理·· 9

7.1 License简介·· 9

7.2 License申请及安装·· 9

8 存在问题与规避措施·· 9

9 解决问题列表·· 9

9.1 R9560P43版本解决问题列表·· 9

9.2 R9560P41版本解决问题列表·· 11

9.3 R9560P40版本解决问题列表·· 11

9.4 R9560P32版本解决问题列表·· 11

9.5 R9560P2903版本解决问题列表·· 12

9.6 R9560P26版本解决问题列表·· 12

9.7 R9560P18版本解决问题列表·· 13

9.8 F9560P07版本解决问题列表·· 13

9.9 F9560P05版本解决问题列表·· 13

9.10 R9536P14版本解决问题列表·· 13

9.11 R9524P25版本解决问题列表·· 13

9.12 R9524P22版本解决问题列表·· 14

9.13 R9524P21版本解决问题列表·· 14

9.14 R9524P19版本解决问题列表·· 14

9.15 R9524P18版本解决问题列表·· 14

9.16 R9524P16版本解决问题列表·· 14

9.17 E9524P15版本解决问题列表·· 14

9.18 E9524P13版本解决问题列表·· 14

9.19 E9524P12版本解决问题列表·· 14

9.20 E9524P07版本解决问题列表·· 14

9.21 E9522P02版本解决问题列表·· 15

9.22 R9514P0901版本解决问题列表·· 15

9.23 E9514P08版本解决问题列表·· 15

9.24 E9514P04版本解决问题列表·· 16

9.25 F9514P02版本解决问题列表·· 16

10 相关资料·· 16

10.1 相关资料清单·· 16

10.2 资料获取方式·· 16

11 技术支持·· 17

附录 A 本版本支持的软、硬件特性列表·· 18

A.1 版本硬件特性·· 18

A.2 版本软件特性·· 18

附录 B 修复的安全漏洞·· 22

B.1 R9560P43及以前版本修复的安全漏洞·· 22

附录 C 软件升级操作指导·· 25

C.1 设备软件简介·· 25

C.1.1 BootWare程序·· 25

C.1.2 启动软件包·· 25

C.2 配置文件简介·· 26

C.2.1 软件升级方式简介·· 26

C.2.2 升级前的准备·· 27

C.2.3 设备升级环境·· 27

C.3 升级启动文件·· 27

C.3.1 通过Web升级启动文件·· 28

C.3.2 通过命令行升级启动文件·· 31

C.4 升级BootWare文件·· 37

C.5 软件升级失败的处理·· 38

附录 D 进入BootWare菜单·· 38

D.1 BootWare菜单的快捷键·· 39

D.2 进入BootWare基本段·· 39

D.2.1 修改串口参数·· 40

D.2.2 升级BootWare扩展段·· 40

D.2.3 升级完整的BootWare· 40

D.2.4 启动BootWare扩展段·· 41

D.2.5 启动备份的BootWare扩展段·· 41

D.2.6 进入基本段辅助子菜单·· 42

D.3 进行内存测试·· 42

D.4 进入BootWare扩展段·· 42

D.4.1 BootWare扩展段主菜单·· 42

D.4.2 配置密码恢复功能·· 44

D.4.3 启动应用程序·· 45

D.4.4 串口子菜单·· 45

D.4.5 以太网配置子菜单·· 46

D.4.6 文件控制子菜单·· 48

D.4.7 恢复出厂配置启动·· 51

D.4.8 忽略系统配置文件·· 52

D.4.9 BootWare操作子菜单·· 52

D.4.10 跳过console口认证·· 53

D.4.11 存储器操作子菜单·· 53

D.4.12 进入BootWare扩展段辅助子菜单·· 54

D.4.13 格式化文件系统·· 54

D.5 通过BootWare菜单进行软件升级·· 54

D.5.1 通过BootWare菜单升级启动文件·· 54

D.5.2 通过BootWare菜单升级BootWare文件·· 59

表目录

表1 历史版本信息表....................................................................................................................... 1

表2 版本配套表.............................................................................................................................. 2

表3 MIB文件变更说明................................................................................................................... 6

表4 设备系统配置表..................................................................................................................... 18

表5 产品软件特性........................................................................................................................ 18

表6 软件升级方式简介................................................................................................................. 26

表7 默认Web登录信息表............................................................................................................ 28

表8 系统保留的快捷键................................................................................................................. 39

表9 BootWare基本段菜单项说明................................................................................................. 40

表10 BootWare基本段辅助子菜单说明........................................................................................ 42

表11 BootWare扩展段主菜单说明............................................................................................... 44

表12 配置密码恢复功能............................................................................................................... 45

表13 串口子菜单说明................................................................................................................... 46

表14 以太网配置子菜单说明........................................................................................................ 47

表15 以太网口参数设置说明........................................................................................................ 47

表16 文件控制子菜单说明............................................................................................................ 48

表17 BootWare操作子菜单说明................................................................................................... 53

表18 存储器操作子菜单说明........................................................................................................ 54

表19 扩展段辅助子菜单说明........................................................................................................ 54

表20 设置以太网口参数显示信息描述表....................................................................................... 56

表21 设置以太网口参数显示信息描述表....................................................................................... 58

表22 设置以太网口参数显示信息描述表....................................................................................... 60

表23 设置以太网口参数显示信息描述表....................................................................................... 62

本文介绍了R9560P43版本的特性、使用限制、存在问题及规避措施等。加载R9560P43版本前，建议您备份配置文件，并进行内部验证，以避免可能存在的风险。

本文档需和随版本发布的《H3C SECPATH1010F_SECPATH1010F_WiNet-CMW710-R9560P43版本说明书（软件特性变更说明）》，以及本文“10  相关资料”中的文档一起配合使用。

1  版本信息

1.1  版本号

版本号：Comware software, Version 7.1.064, Release 9560P43

注：该版本号可在命令行任何视图下用display version命令查看，见注①

1.2  历史版本信息

表1 历史版本信息表

1.3  版本配套表

表2 版本配套表

示例：查看F1000-AK115的软件版本和Bootware版本号方式如下：

<H3C> display version

H3C Comware Software, Version 7.1.064, Release 9560P43------注①

Copyright (c) 2004-2023 New H3C Technologies Co., Ltd. All rights reserved.    

H3C SecPath F1000 uptime is 0 weeks, 0 days, 0 hours, 30 minutes               

Last reboot reason: User reboot   

Boot image: flash:/f1010fw-cmw710-boot-R9560P43.bin                            

Boot image version: 7.1.064, Release 9560P43                                     

   Compiled Nov 06 2023 14:00:00                                                

System image: flash:/f1010fw-cmw710-system-R9560P43.bin                        

System image version: 7.1.064, Release 9560P43                                   

   Compiled Nov 06 2023 14:00:00                                                

Feature image(s) list:                                                            

  flash:/f1010fw-cmw710-devkit-R9560P43.bin, version: 7.1.064                      

    Compiled Nov 06 2023 14:00:00

SLOT 1                                                                         

Uptime is 0 weeks, 0 days, 0 hours, 30 minutes                                 

CPU type: Multi-core CPU                                                       

DDR3 SDRAM Memory      2032M bytes                                             

Board PCB        Version:Ver.A                                                 

Basic  BootWare  Version: 3.03  ----注②                                                   

Extend BootWare  Version: 3.03                                                 

[SubSlot 0]12GE  (Hardware)Ver.A, (Driver)1.0                                  

Boot Type: Warm

1.4  版本升级注意事项

(1)      由于Flash存储空间较小（256M），不支持用ISSU升级。

(2)      为保证硬件兼容性，请不要将设备出厂软件版本降级使用。

(3)      从E9524P07版本开始，BootWare版本打包到IPE版本文件中，设备启动过程中会判断当前BootWare版本号大小，如果比IPE文件里自带的版本旧，系统会会用IPE版本文件里的BootWare版本自动升级。

(4)      关于手工升级AV/URL特征库的使用说明：官网AV和URL区分大小库，名称中包含h的为大库，否则为小库。比如V7-AV-H-1.0.68.dat为大库，V7-AV-1.0.68.dat为小库。 用户手工升级AV和URL特征库时，设备内存8G以上，同时存储介质(Flash, SD卡，CF卡等)容量为1G以上才能默认升级大库，否则只能默认升级小库。

2  硬件特性变更说明

2.1  R9524P29版本硬件特性变更说明

新增支持5款防火墙：

F1000-S-VG/F100-C-G3/F100-S-G3/F100-M-G3/F100-S80-WiNet，具体详见附录A.1版本硬件特性。

3  软件特性及命令行变更说明

本版本无特性变更，有关本版本及历史版本的软件特性及命令行的变更信息说明，请参见随版本发布的《H3C SECPATH1010F_SECPATH1010F_WiNet-CMW710-R9560P43版本说明书（软件特性变更说明）》。

4  MIB变更说明

表3 MIB文件变更说明

5  操作方式变更说明

无。

6  版本使用限制及注意事项

在更新软件版本之前，强烈建议您通过《H3C SECPATH1010F_SECPATH1010F_WiNet-CMW710-R9560P43版本说明书（软件特性变更说明）》了解版本间的软件特性变更情况，评估变更可能对业务造成的影响，同时请查阅相关的配套资料。

日常使用设备时，请注意以下事项，否则容易导致设备异常或者配置失败：

6.1  使用限制

(1)      设备不支持堆叠。

6.2  注意事项

(1)      浏览器支持Chrome 31及以上版本、Firefox 19及以上版本、Safari 5及以上版本、Internet Explorer 9及以上版本。

(2)      不支持Web与命令行混用，对于同一个特性模块，不能同时既使用命令行，又使用Web进行配置。

(3)      不支持自定义Context、服务器负载均衡、AFT等功能。

(4)      由于Flash存储空间较小，不支持用ISSU升级版本。

(5)      不支持SSL VPN Web接入方式。

(6)      Bypass口不支持做堆叠口。

(7)      相同型号设备才支持堆叠。

(8)      主接口和子接口的MAC地址需要保持一致。

(9)      开启了基于域名的地址组对象：

·              如果终端的local dns指向防火墙，那么防火墙做dns代理，这种情况下升级到新版本没问题。

·              如果终端的local dns指向外网dns，那么防火墙做转发，这种情况下升级新版本，需要通知现场人员一旦升级到新版本，需要开启dns snooping 功能（dns sniooping enable），否则业务会中断。

(10)   解决相关密码算法强度不足引发的漏洞问题之后，原来版本携带的INODE客户端（默认使用TLS1.0协商）不能成功登录SSLVPN网关，需要使用的新的INode（E0582之后)

(11)   如果操作系统的邮件协议（如：IMAP/POP/SMTP协议）和对应格式为非MIME格式（Uuencode格式除外），则DPI不支持该种格式的处理。

(12)   全局NAT对象组不支持嵌套。

7  License管理

7.1  License简介

License即授权，指新华三技术有限公司授予用户使用特定软件功能的合法权限。

产品需要通过License授权的软件功能以及License授权的相关属性，请参见产品配套的《H3C SecPath F100系列防火墙产品 License支持情况说明》、《H3C SecPath F1000[F5000]系列防火墙产品 License支持情况说明》。

7.2  License申请及安装

H3C网站提供License的激活申请、设备授权迁移申请等功能：

http://www.h3c.com/cn/License

·              有关License申请、激活文件安装、License迁移等操作的使用指导及详细信息，请参见《H3C 安全产品 License注册演示视频》、《H3C 安全产品 License注册演示图解》、《H3C 安全产品 License注册演示典型配置举例》和《H3C 安全产品 License使用指南》。

·              H3C提供了License相关的FAQ，如您在操作过程中遇到问题，可查阅《H3C 安全产品 License注册用户FAQ》。

8  存在问题与规避措施

无。

9  解决问题列表

9.1  R9560P43版本解决问题列表

1. 202310090807

·              问题现象：报文被截断导致报文格式有问题客户端不识别。

·              问题产生条件：设备做DNS代理，当UDP的DNS应答报文中解析地址个数较多报文超过512字节时。

2. 202310240778

·              问题现象：dns报文会透传到主控并走了高优先级，当dns新建较大时会导致ospf报文被丢弃，影响了路由。

·              问题产生条件：设备开启了dns snooping log enable。

3. 202309051138

·              问题现象：会把驱动bypass标记清掉，bypass功能失效。

·              问题产生条件：设备进行三层口 inline转发。

4. 202309141186

·              问题现象：会导致设备进KDB。

·              问题产生条件：大量攻击流量下，进行升级特征库，升级过程中频繁查询规则命中。

5. 202401091056

·          问题现象： 设备异常重启。

·          问题产生条件： 设备内核态一直处于压力中。

6. 202401090304

·          问题现象： F1000-AK1125/1205部分接口异常，无法转发流量。

·          问题产生条件：F1000-AK1125/1205设备接口插入网线，转发流量。

7. 202312290797

·          问题现象：设备处理tcp分片报文丢包，导致相应业务失败。

·          问题产生条件：设备配置tcp代理，然后打入相应tcp分片报文业务。

8. 202312280470

·          问题现象： 设备二层转发IP，app-proxy业务处理异常。

·          问题产生条件： 设备二层转发的带padding的IP报文识别错误，导致app-proxy业务处理异常。

9. 202312201710

·          问题现象：设备nat66源nat转换SCTP协议错误，导致相关业务异常。

·          问题产生条件：设备配置nat66业务，并打入匹配的SCTP协议业务。

10. 202312290846

·          问题现象：配置自定义context限速，主context也会被错误限速。

·          问题产生条件：防窜货款型设备，自定义context下管道不能正常连云平台，在未联网超过一定时间后，自定义context会下发驱动限速。

11. 202310200813

·          问题现象：设备http进程异常重启。

·          问题产生条件： 使用带有超长host字段长度的http访问设备时，设备http进程异常重启。

12. 202401181320

·          问题现象：F1000-AK系列设备电源告警。

·          问题产生条件：F1000-AK系列设备重启后打印电源告警日志。

13. 202401080933

·          问题现象：设备display power 显示电源状态异常。

·          问题产生条件：设备电源风扇转速异常下，display power 显示电源状态。

14. 202401170073

·          问题现象：设备配置sslvpn隧道接入模式转发流量存在内存泄露。

·          问题产生条件：备配置sslvpn隧道接入模式，开启session松散模式，收到客户端直接发的tcp reset报文。

15. 202401020483

·          问题现象：设备web开启域间策略日志，页面报错。

·          问题产生条件： 在设备快速日志页面勾选域间策略日志，并点击确定。

16. 202312081308

·          问题现象：设备硬盘出现只读和挂载失败问题。

·          问题产生条件：在设备硬盘写入一个通过truncate将一个2G以上的文件截断并且截断后还是大于2G的文件。

17. 202312010762

·          问题现象：设备advpn 隧道建立失败。

·          问题产生条件：设备配置源接口使用Dial 口的advpn隧道，dial口地址发生改变。

9.2  R9560P41版本解决问题列表

1. 202303281904

·              问题现象：设备异常重启。

·              问题产生条件：设备转发特定异常mime格式报文。

9.3  R9560P40版本解决问题列表

1. 202306021249

·              问题现象：一直报bfd日志。

·              问题产生条件：现场静态路由联动bfd  control-packet方式。

9.4  R9560P32版本解决问题列表

1. 202211151880

·              问题现象：设备删除地址对象组，命令行卡住。

·              问题产生条件：设备配置地址对象组并在ACL中引用。

2. 202301130123

·              问题现象：设备web界面重复弹窗，导致概览页面卡死。

·              问题产生条件：反复操作设备概览页面，问题概率出现。

3. 202301092039

·              问题现象：设备hwtacacs认证失败，web登陆失败。

·              问题产生条件：设备配置hwtacacs认证，进行hwtacacs认证并web登录。

4. 202301091826

·              问题现象：登录设备web，web页面显示空白。

·              问题产生条件：设备用户配置系统自带的规则下定义规则，并使用这个用户登录设备web。

5. 202301130577

·              问题现象：设备配置域名信誉，流量匹配命中域名后动作未生效。

·              问题产生条件：设备配置域名信誉，将该域名加入例外，然后修改该域名所属攻击分类的动作，再将该域名移出例外。

9.5  R9560P2903版本解决问题列表

1. 202212200590

·              问题现象：命令行挂死。

·              问题产生条件： 配置地址对象组并在ACL中引用，删除ACL后继续删除地址对象组。

2. 202212100517

·              问题现象：IKE协商失败。

·              问题产生条件： 主模式下IKE Profile中配置本端和对端ID为address类型 采用国密算法。

3. 202212080254

·              问题现象：nat转换功能不生效。

·              问题产生条件：防火墙采用nat server group服务器负载均衡方式。

4. 202212020823

·              问题现象：支持RBM主备双机的备设备抢占工作。

·              问题产生条件： 防火墙RBM组网下，RBM状态异常情况下，应支持RBM主备双机的备设备抢占工作。

5. 202211290204

·              问题现象：设备异常重启。

·              问题产生条件：配置10KEVPN实例和1K静态隧道，配置bgp evpn邻居生成动态隧道关联10KVXLAN。

9.6  R9560P26版本解决问题列表

1. 202206281707

·              问题现象：RBM备需要等10秒超时才能升。

·              问题产生条件：RBM环境下，将主下电重启后主。

2. 202203311440

·              问题现象：工作模式修改不了，提示操作失败。

·              问题产生条件： web-网络-接口：编辑接口设置。

3. 202011160557

·              问题现象：TCP_proxy,SSLVPN相关进程存在内存泄露。

·              问题产生条件：使用INode(E0568)连接SSLVPN网关。

4. 202207191604

·              问题现象：无法对黑洞路由进行过滤。

·              问题产生条件：使用isis引入直连的方式来发布路由，并配置filter-policyprefix-list isis-prefix export direct命令。

5. 202207121157

·              问题现象：ping直连下一跳首包丢包

·              问题产生条件：RBM+VRRP组网下，ping流量匹配NAT outbound且ping的源地址指定为VRRP虚地址。

6. 202207120491

·              问题现象：web页面上的应用分析中心关于流量的统计没数据

·              问题产生条件：设备开启DPI及相关日志功能，运行一段时间后，修改设备时间。

9.7  R9560P18版本解决问题列表

1. 202108280156

·              问题现象：设备会重启。

·              问题产生条件：访问SSL VPN网关的报文中携带svnp_rewrite_code字段时。

9.8  F9560P07版本解决问题列表

1. 202012010116

·              问题现象：因DNS审计功能不支持旁挂组网，故DNS审计功能不生效。

·              问题产生条件：设备以旁挂方式进行组网，然后配置DNS审计功能。

9.9  F9560P05版本解决问题列表

无。

9.10  R9536P14版本解决问题列表

首次发布R9536分支版本（内部版本D045SP），无问题解决列表。

9.11  R9524P25版本解决问题列表

1. 201909040597

·              问题现象：无法添加成功，点击应用无反应。如果配置其他邮件服务器，是可以正常配置上的；使用命令行配置，可以配置上；命令行和Web的实现不一致。

·              问题产生条件：在日志邮件服务器添加QQ服务器域名时。

9.12  R9524P22版本解决问题列表

无。

9.13  R9524P21版本解决问题列表

1. 201907110039

·              问题现象：接口流量统计不准。

·              问题产生条件：查看“概览->系统->流量统计”页面。

2. 201906060789

·              问题现象：首页无法登录，获取静态页面返回400

·              问题产生条件：采用R9524P18测试反向连接功能。

9.14  R9524P19版本解决问题列表

无。

9.15  R9524P18版本解决问题列表

无。

9.16  R9524P16版本解决问题列表

无。

9.17  E9524P15版本解决问题列表

无。

9.18  E9524P13版本解决问题列表

无。

9.19  E9524P12版本解决问题列表

无。

9.20  E9524P07版本解决问题列表

1. 201805140243

·              问题现象：设备查询ike sa卡死。

·              问题产生条件：发起方发送了两个相同的icookie。

9.21  E9522P02版本解决问题列表

无

9.22  R9514P0901版本解决问题列表

1. 201709190158

·              问题现象：部分页面图标对不上，原因为SSL VPN Web改写对于用户网站包含一段引用外部css文件的代码遗漏改写。

·              问题产生条件：通过SSL VPN访问某内网OA系统。

2. 201709090076

·              问题现象：提示用户需要重新登录，原因为SSL VPN Web改写对于HTTP应答报文头的Set-Cookie的改写处理有问题。

·              问题产生条件：利用SSL VPN访问某内网OA系统，点击邮件、法务链接后。

3. 201709230213

·              问题现象：提示证书认证失败。

·              问题产生条件：通过独立证书认证方式登录设备，证书名为中文姓名+身份证号。

4. 201709250320

·              问题现象：出现一端UP一端Down的情况，导致业务中断。

·              问题产生条件：V5与V7设备对接建立GRE，V5配置keepalive V7不配置keepalive。

5. 201710110296

·              问题现象：流量无法恢复在该实服务器上，设备显示实服务器有收无发，但健康检测均正常，必须清除会话才可恢复。

·              问题产生条件：配置Radius类型的负载均衡，一台实服务器移出实服务组后重新添加。

6. 201710170144

·              问题现象：用户输入https的url后无法重定向打开认证页面。

·              问题产生条件：配置portal web-server url为https时。

7. 201709080664

·              问题现象：发现存在OpenSSL相关漏洞(CVE-2016-8610)。

·              问题产生条件：设备进行漏洞扫描

9.23  E9514P08版本解决问题列表

1. 201708110557

·              问题现象：Syslog方式输出日志会导致设备性能明显降低，设备命令行也没有给用户一个Y or N的选择，不利于用户提前知晓性能降低的风险。

·              问题产生条件：Userlog日志输出方式缺省是二进制，若修改为Syslog方式输出时。

2. 201709060723

·              问题现象：IPv6外网直连网段只能学习到接口ARP的地址，学习不到内网AFT IPv6的ARP地址。

·              问题产生条件：IPv6外网访问内网IPv4 Sever时，配置V4 to V6的静态转换，地址和接口处于相同网段。

3. 201708300075

·              问题现象：CPU利用率高，达到70%以上。

·              问题产生条件：在存在大量virtual-access口的情况下，网管定时轮询设备，SNMP遍历iftable、ifxtable、ifRcvAddressTable这三个表，会遍历所有Virtual-access口。

·              说明：公司重大问题同步。

9.24  E9514P04版本解决问题列表

无

9.25  F9514P02版本解决问题列表

首次发布，无问题解决列表。

10  相关资料

10.1  相关资料清单

·              H3C SecPath F1000-AK系列防火墙 快速安装指南

·              H3C SecPath F100-WiNet系列防火墙 安装指导

·              H3C SecPath F100-X-G3[F1000-X-G3]系列防火墙 安装指导

·              H3C SecPath F1000-C81X0系列防火墙 安装指导

·              H3C SecPath F1000-V系列视频网关 安装指导

·              H3C SecPath F100-X-HI系列防火墙 安装指导

·              H3C SecPath F100[F1000]系列防火墙 配置指导(V7)(R8560 R8860 R9360 R9560 R9660)

·              H3C SecPath F100[F1000]系列防火墙 命令参考(V7)(R8560 R8860 R9360 R9560 R9660)

·              H3C SecPath F1000[F5000][FW插卡][vFW]系列防火墙 配置指导(V7)(R8X60 R9X60 E8X60 E9X60 E1185)

·              H3C SecPath F1000[F5000][FW插卡][vFW]系列防火墙 命令参考(V7)(R8X60 R9X60 E8X60 E9X60 E1185)

·              H3C SecPath 防火墙产品 Web配置指导(RXX60 EXX60 E1185)(V7)

·              H3C 安全产品 日志信息参考(V7)(R8X60 R9X60 E1185)

10.2  资料获取方式

您可以通过H3C网站（www.h3c.com）获取最新的产品资料：

(1)      请访问网址：http://www.h3c.com/cn/Technical_Documents；

(2)      选择产品类别和产品型号，即可查询和下载与该产品相关的手册。

11  技术支持

用户支持邮箱：service@h3c.com

技术支持热线电话：400-810-0504（手机、固话均可拨打）

网址：http://www.h3c.com

附录 A 本版本支持的软、硬件特性列表

A.1 版本硬件特性

表4 设备系统配置表

F1000-AK115/F1000-AK125/F1000-C8150/F1000-C8130/F1000-C8120/F1000-AK710/F100-C-HI/F100-S-HI/F1000-AK1110/F1000-AK11120/F1000-AK1130/F1000-AK1140/F1000-S-VG/F100-C-G3/F100-S-G3/F100-M-G3/F100-S80-WiNet

A.2 版本软件特性

表5 产品软件特性

附录 B 修复的安全漏洞

B.1 R9560P43及以前版本修复的安全漏洞

2. 【HSVD-201709-002】CVE-2017-3735

攻击者可利用该漏洞绕过安全限制，执行未授权的操作。

3. 【HSVD-201903-017】CVE-2019-3855

libssh2 输入验证错误漏洞libssh2是一款实现SSH2协议的客户端C库，它能够执行远程命令、文件传输，同时为远程的程序提供安全的传输通道。

4. 【HSVD-201904-001】

TCP/IP SYN + FIN包过滤漏洞，远程主机不会丢弃设置了FIN标志的TCP SYN数据包。根据您使用的防火墙类型，攻击者可能会使用此漏洞绕过其规则。

5. 【HSVD-201902-001】

远程主机利用TCP timestamp漏洞，获取正常上线运行时间。

6. 【HSVD-201901-016】CVE-2019-548

Linux kernel信息泄露漏洞。

7. 【javascript框架库漏洞】

javascript框架库漏洞和目标URL存在内部IP地址泄露漏洞。

8. 【CVE-2020-10188漏洞 】

netkit telnet是一款使用在Linux平台中的telnet客户端程序。该程序主要用于使用TELNET协议与另一个主机进行交互通信。 Netkit telnet 0.17及之前版本中的telnetd的utility.c文件存在缓冲区错误漏洞。远程攻击者可利用该漏洞执行任意代码。

9. 【WEB js漏洞】

web漏扫发现js的中微漏洞 。

10. 【WEB CSRF漏洞 】

SSLVPN Web页面存在CSRF漏洞 。

11. 【HTTP方法漏洞】

通过调用OPTIONS方法，可以确定每个目录上允许哪些HTTP方法。

12. 【CRLF注入漏洞 】

当发送HTTP请求中包含Cookie信息，且Cookie中包含domain是一个设备上配置的domain值，或者请求为

GET /enterdomain.cgi?domain=%0d%0aSomeCustomInjectedHeader:%0d%0aset-cookie:iamyy HTTP1/1时，触发CRLF注入漏洞

13. 【CNVD-2019-38485】CVE-2019-1547

攻击者可利用该漏洞获取敏感信息。

14. 【CNVD-2019-38486】CVE-2019-1563

攻击者可通过发送大量加密的消息利用该漏洞恢复CMS/PKCS7传输的加密密钥或解密使用公共的RSA密钥加密的消息。

15. 【CNVD-2017-00450】CVE-2016-7056

源于crypto/ec/ecdsa_ossl.c文件的‘ecdsa_sign_setup()’函数未能正确的设置BN_FLG_CONSTTIME标识。本地攻击者利用该漏洞实施cache-timing攻击，获取ECDSA P-256私钥。

16. 【CNVD-2018-06539】CVE-2018-0739

漏洞源于使用递归过度的恶意输入，构造的ASN.1类型可造成栈溢出，导致拒绝服务攻击。

17. 【CNVD-2019-05906】CVE-2019-1559

攻击者可利用该漏洞绕过访问限制，获取敏感信息。

18. 【CNVD-2018-09649】CVE-2018-0737

生成算法存在安全漏洞。攻击者可利用该漏洞实施时序攻击，恢复私钥。

19. 【CNVD-2018-12153】CVE-2018-0732

攻击者可利用该漏洞造成拒绝服务（挂起）。

20. 【CNVD-2019-27331】CVE-2019-1552

OpenSSL存在安全漏洞，攻击者可利用该漏洞绕过安全保护。

21. 【CNVD-2019-38486】CVE-2019-1563

攻击者可通过发送大量加密的消息利用该漏洞恢复CMS/PKCS7传输的加密密钥或解密使用公共的RSA密钥加密的消息。

22. 【CVE-2018-5407】

OpenSSL存在的一个本地信息泄露漏洞，本地攻击者可以利用该漏洞获取敏感信息，这可能有助于进一步的攻击。

23. 【X-Frame-Options属性漏洞】

http报文没有设置X-Frame-Options字段，可能导致非同源的iframe插入，从而导致点击劫持。

24. CVE-2011-1473

内核SSL没有处理关闭SSL重协商字段，导致ssl客户端可以重协商成功。

25. CVE-2021-23841/CVE-2021-23840/CVE-2020-1971

修复OpenSSL存在的安全漏洞：OpenSSL在处理EDIPartyName （X.509GeneralName类型）时，使用的函数GENERAL_NAME_cmp中存在一处空指针取消引用，当使用该函数进行比较的两个参数都包含EDIPartyName时触发该漏洞。

26. CVE-2016-6329

加密算法本身问题，如果默认修改为不支持涉及漏洞的几种加密算法，可能会导致用户升级后WEB无法登陆问题。规避方案：[UNIS-ssl-server-policy-fxm]ciphersuite下不要选包含DES、3DES、RC2这种block长度为8bytes的cbc算法，可以选aes_256_cbc等算法，然后重启https服务。

27. CVE-2022-0778

修复OpenSSL BN_mod_sqrt拒绝服务漏洞：证书解析使用的BN_mod_sqrt()函数存在一个错误，它会导致在非质数的情况下永远循环。通过生成包含无效的显式曲线参数的证书来触发无限循环。由于证书解析是在验证证书签名之前进行的，因此任何解析外部提供的证书的程序都可能受到拒绝服务攻击。此外，当解析特制的私钥时(包含显式椭圆曲线参数)，也可以触发无限循环。易受攻击的情况如下：使用服务器证书的TLS客户端；使用客户端证书的TLS服务器；托管服务提供商从客户处获取证书或私钥；证书颁发机构解析来自订阅者的认证请求；任何其他解析ASN.1椭圆曲线参数的程序。

28. CVE-2021-3711

修复OpenSSL SM2解密缓冲区溢出漏洞，该漏洞由于 OpenSSL解密SM2加密数据时调用API  函数EVP_PKEY_decrypt，其计算缓冲区大小存在错误导致导致缓冲区溢出。

29. CVE-2021-3712

修复OpenSSL ASN.1 strings读取缓冲区溢出漏洞，该漏洞由于 OpenSSL用于存储ASN.1字符串的结构ASN_1_String在创建是没有严格遵守字符串的Null字节结尾，在打印时可能发生读取缓冲区溢出。

附录 C 软件升级操作指导

C.1 设备软件简介

设备软件主要包括Bootware程序和启动软件包。

·              Bootware文件对存储器进行容量检查和测试，初始化硬件并显示设备的硬件参数。

·              启动文件一方面提供对主要部件的硬件驱动和适配功能，另一方面实现对业务特性的支持。

C.1.1 BootWare程序

设备开机最先运行的程序是BootWare程序，它能够引导硬件启动、引导启动软件包运行、提供BootWare菜单功能。BootWare程序存储在设备的BootWare（芯片）中。完整的BootWare包含BootWare基本段和BootWare扩展段。

·              BootWare基本段是指完成系统基本初始化的BootWare。

·              BootWare扩展段具有丰富的人机交互功能，用于接口的初始化，可以实现升级应用程序和引导系统。

通常情况下，BootWare文件是一个后缀名为.btw的文件（例如：main.btw）。

C.1.2 启动软件包

1. 启动软件包的分类

启动软件包是用于引导设备启动的程序文件，按其功能可以分为以下几类：

·              Boot软件包（简称Boot包）：包含Linux内核程序，提供进程管理、内存管理、文件系统管理、应急Shell等功能。

·              System软件包（简称System包）：包含Comware内核和基本功能模块的程序，比如设备管理、接口管理、配置管理和路由模块等。

·              Feature软件包（简称Feature包）：用于业务定制的程序，能够提供更丰富的业务。一个Feature包可能包含一种或多种业务。是否支持Feature包以及支持哪些Feature包与设备的型号有关，请以设备的实际情况为准。

·              Patch软件包（简称补丁包）：用来修复设备软件缺陷的程序文件。补丁包与软件版本一一对应，补丁包只能修复与其对应的启动软件包的缺陷，不涉及功能的添加和删除。

设备必须具有Boot包和System包才能正常运行，Feature包可以根据用户需要选择安装，补丁包只在需要修复设备软件缺陷时安装。

2. 启动软件包的发布形式

启动软件包有以下两种发布形式：

·              BIN文件：后缀为.bin的文件。一个BIN文件就是一个启动软件包。要升级的BIN文件之间版本必须兼容才能升级成功。

·              IPE（Image Package Envelope，复合软件包套件）文件：后缀为.ipe的文件。它是多个软件包的集合，产品通常会将同一个版本需要升级的所有类型的软件包都压缩到一个IPE文件中发布。用户将该IPE文件加载到设备后，设备会自动将它解压缩成多个BIN文件。用户再使用这些BIN文件升级设备即可，从而能够减少启动软件包之间的版本管理问题。

3. 主/备用启动软件包以及软件包列表

用户在配置设备下次启动使用的软件包时，需要指定软件包的名称，以及软件包的主用/备用属性。

·              设备会将所有具有主用属性的软件包的名称存储在主用启动软件包列表中，将所有具有备用属性的软件包的名称存储在备用启动软件包列表中。

·              当设备启动时，优先使用主用启动软件包列表中的软件包，如果主用启动软件包列表中软件包不存在或者不可用，再使用备用启动软件包列表中的软件包。

C.2 配置文件简介

配置文件是用来保存配置的文件。配置文件主要用于：

·              将当前配置保存到配置文件，以便设备重启后，这些配置能够继续生效。

·              使用配置文件，用户可以非常方便地查阅配置信息。

设备缺省的配置文件名为startup.cfg。

C.2.1 软件升级方式简介

表6 软件升级方式简介

C.2.2 升级前的准备

TFTP（Trivial File Transfer Protocol，简单文件传输协议）是TCP/IP协议族中的一个用来在客户机与服务器之间进行简单文件传输的协议，提供不复杂、开销不大的文件传输服务。设备作为TFTP Client，文件服务器（通常为PC）作为TFTP Server，用户通过在终端输入相应命令，可将本设备的启动文件上传到文件服务器上，或者从文件服务器下载启动文件到设备中。

FTP（File Transfer Protocol，文件传输协议）在TCP/IP协议族中属于应用层协议，主要向用户提供远程主机之间的文件传输。设备作为FTP Client，文件服务器（通常为PC）为FTP Server。

在升级设备启动文件前，请完成如下准备工作：

·              在设备出厂前，已配置接口GigabitEthernet1/0/0的IP地址为192.168.0.1/24。此接口已被加入Management安全域，且安全域Management和Local之间可以互通。

·              管理员也可以根据实际网络需求，自定义用于软件升级的安全域和接口IP地址，并正确配置安全域间实例以保证所配置的安全域与Local安全域之间可以互通。有关安全域和安全域间实例的详细介绍请参见“基础配置指导”中的“安全域”。用户需配置文件服务器IP地址，确保设备与文件服务器路由可达。

·              开启文件服务器的TFTP/FTP Server功能。

·              通过配置终端登录到设备的命令行配置界面中。

·              将设备的升级启动文件拷贝到文件服务器上，并正确设置TFTP/FTP Server的访问路径。

C.2.3 设备升级环境

下文中所有的软件升级配置举例，组网的具体环境如下：

·              设备与PC之间采用直连方式进行连接，PC作为TFTP/FTP的服务器端，设备作为TFTP/FTP的客户端。

·              PC通过以太网双绞线连接到设备的GE1/0/0接口。

·              首先将配置电缆的RJ-45插头插入设备的Console口，再将配置电缆DB-9（孔）插头插入PC机（或终端）的串口插座上。

·              使用设备的出厂配置进行软件升级。

·              PC的IP地址为192.168.0.2，子网掩码为255.255.255.0。

C.3 升级启动文件

C.3.1 通过Web升级启动文件

通过Web升级启动文件，可以采用以下方式：

·              通过上传.bin文件的方式升级设备

·              通过上传.ipe文件的方式升级设备

设备支持Web网管功能，管理员可以使用Web界面方便直观地管理、维护和升级。

设备在出厂前，已经设置了默认的Web登录信息，用户可以直接使用该默认信息登录Web界面。默认Web登录信息请参见表7。

表7 默认Web登录信息表

1. 通过上传.bin文件的方式升级设备

(1)      连接设备和PC

用以太网线将PC和设备的以太网口相连，建议连在以太网管理口。

(2)      为PC配置IP地址，确保能与设备互通

修改IP地址为192.168.0.0/24（除192.168.0.1）子网内任意地址，例如192.168.0.2。

(3)      启动浏览器，输入登录信息

在PC上启动浏览器，在地址栏中输入IP地址“192.168.0.1”后回车，即可进入设备的Web登录页面，输入设备默认的用户名和密码，单击<登录>按钮即可登录。

(4)      选择“系统 > 升级中心 > 软件更新”，进入如下图所示的页面。

(5)      单击<立即升级>按钮，弹出立即升级配置页面，启动文件类型选择“bin”类型，如图C-1所示。

图C-1 升级系统软件

(6)      点击“自动删除当前所有启动文件”选项，删除当前所有启动文件。删除完成后，选择待升级的启动文件。

图C-2 删除当前所有启动文件

(7)      单击<确定>按钮开始进行软件升级。

图C-3 选择待升级的启动文件

2. 通过上传.ipe文件的方式升级设备

(1)      连接设备和PC

用以太网线将PC和设备的以太网口相连，建议连在以太网管理口。

(2)      为PC配置IP地址，确保能与设备互通

修改IP地址为192.168.0.0/24（除192.168.0.1）子网内任意地址，例如192.168.0.2。

(3)      启动浏览器，输入登录信息

在PC上启动浏览器，在地址栏中输入IP地址“192.168.0.1”后回车，即可进入设备的Web登录页面，输入设备默认的用户名和密码，单击<登录>按钮即可登录。

(4)      选择“系统 > 升级中心 > 软件更新”，进入如下图所示的页面。

(5)      单击<立即升级>按钮，弹出立即升级配置页面，如下图所示。

图1 升级系统软件

(6)      选择待升级的启动文件。

(7)      单击<确定>按钮开始进行软件升级。

C.3.2 通过命令行升级启动文件

通过命令行升级启动文件，可以采用以下方式：

·              使用TFTP协议升级设备的启动文件

·              使用FTP协议升级设备的启动文件

1. 使用TFTP协议升级设备的启动文件

设备作为TFTP Client，访问TFTP文件服务器的指定路径，完成启动文件的备份与升级操作，

具体操作步骤如下：

(1)      备份当前启动文件和配置文件

# 在命令行配置界面的任意视图下，执行save命令保存设备当前配置信息：

<Sysname> save

The current configuration will be written to the device. Are you sure? [Y/N]:y

Please input the file name(*.cfg)[cfa0:/startup.cfg]

(To leave the existing filename unchanged, press the enter key):

cfa0:/startup.cfg exists, overwrite? [Y/N]:y

Validating file. Please wait...

Saved the current configuration to mainboard device successfully.

# 在命令行配置界面的用户视图下，执行dir命令查看设备当前的文件系统，确认启动文件及配置文件名，以及CF的剩余空间，保证CF有足够空间放入新的启动文件：

<Sysname> dir

Directory of cfa0:

   0 drw-           - Jul 06 2017 15:04:22   context

   1 drw-           - Jul 05 2017 10:01:40   diagfile

   2 drw-           - Jul 05 2017 10:36:20   dpi

   3 -rw-         735 Jul 05 2017 10:01:48   hostkey

   4 -rw-         735 Jul 05 2017 09:24:34   hostkey_v3

   5 -rw-         805 Nov 27 2017 19:50:26   ifindex.dat

   6 drw-           - Nov 27 2017 19:40:15   license

   7 drw-           - Jul 06 2017 10:27:44   logfile

   8 drw-           - Nov 27 2017 19:40:32   pki

   9 -rw-        1676 Jul 05 2017 09:40:20   private-data.txt

  10 drw-           - Jul 05 2017 09:24:26   seclog

  11 -rw-         591 Nov 27 2017 19:40:32   serverkey

  12 -rw-        3928 Nov 27 2017 19:50:27   startup.cfg

  13 -rw-       77641 Nov 27 2017 19:50:27   startup.mdb

  14 drw-             - Nov 27 2017 19:40:27   versionInfo

252164 KB total (146614 KB free)

# 在命令行配置界面的用户视图下，执行tftp put命令分别将配置文件startup.cfg备份到TFTP文件服务器上：

<Sysname> tftp 192.168.0.2 put startup.cfg vpn-instance management

Press CTRL+C to abort.