华为UMA存在命令行注入漏洞（CNVD-2016-06968）

CVE编号

CVE-2016-7109

利用情况

暂无

补丁情况

N/A

披露时间

2016-09-08

漏洞描述

华为UMA（Unified Maintenance Audit）是一款统一审计系统。提供统一的运维操作入口，控制并记录用户进行的运维操作，支持以命令查看、视频回放等方式进行审计。
华为UMA存在命令执行漏洞。由于系统未对特殊字段进行校验。攻击者连接至相邻网络利用漏洞通过插入特殊字符方式修改该字段，导致命令行注入，从而可以获取设备敏感信息，修改设备数据信息，进而可导致设备不可用。

解决建议

厂商已发布了漏洞公告修复该漏洞，请及时关注更新：
http://www.huawei.com/cn/psirt/security-advisories/huawei-sa-20160824-01-uma-cn

参考链接
http://www.huawei.com/en/psirt/security-advisories/huawei-sa-20160824-01-uma-en
http://www.securityfocus.com/bid/92617

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	huawei	uma	*		Up to (including) v200r001c00spc100

CVSS3评分 9.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-94 对生成代码的控制不恰当（代码注入）