天融信防火墙漏洞

2023年12月，天融天融信发布了一则安全公告，信防承认其NGFW系列防火墙存在一个远程命令执行漏洞。火墙编号CNVD-2023-某串数字，漏洞我记不太清了。天融但那个细节我记得很清楚：攻击者构造特定HTTP请求，信防就能以root权限在设备上执行任意命令。火墙不需要认证。漏洞不需要任何前置条件。天融

这不是信防天融信第一次出问题。翻一翻CNVD的火墙公开记录，过去五年里，漏洞天融信防火墙产品至少被收录了十几个中高危漏洞。天融缓冲区溢出、信防信息泄露、火墙SQL注入、命令注入——几乎涵盖了你能在Web安全课本上看到的所有漏洞类型。一家做了二十多年网络安全的老牌厂商，自己的产品漏洞数量比很多甲方企业一年的安全事件还多，这事本身就挺讽刺的。

漏洞出在哪

这次的问题出在防火墙的Web管理接口上。天融信的NGFW设备默认开放一个HTTPS管理端口，管理员通过浏览器登录进行策略配置。漏洞点在某个API处理函数里，对用户传入的参数没有做过滤，直接拼接进了系统命令。

说白了就是system()函数吃了一个没洗干净的字符串。这种错误放在CTF比赛里算签到题难度，出现在一款卖几十万的商业防火墙产品里，只能说代码审计环节形同虚设。

更让人不安的是利用门槛。我看了网上流出的PoC片段，一个curl命令就能触发。这意味着什么？意味着任何一个会用搜索引擎的脚本小子，都能拿着现成的工具去打那些暴露在公网上的天融信设备。Shodan上随手一搜，天融信防火墙的管理界面在全球范围内有上万条结果，国内占比不小。

厂商的响应速度

从漏洞被报送，到天融信发布补丁，中间隔了将近三周。这个速度在安全行业里不算最差，但也绝对谈不上好。对比一下，思科和Palo Alto通常能在72小时内给出临时缓解方案，一周内发正式补丁。三周时间，够攻击者把全球存在漏洞的设备扫两遍了。

而且补丁的覆盖情况也不乐观。防火墙这东西不像手机App，用户不会主动去点“检查更新”。很多设备一旦上架，除非出故障，否则运维人员根本不会碰它。我认识一个做等保测评的朋友，他跟我说去客户现场做检查，经常能碰到固件版本还停留在三四年前的防火墙，界面上的“检查更新”按钮积了一层灰。

一个更大的问题

防火墙是网络的守门人。企业把最敏感的流量交给它过滤，把安全策略的信任票投给了它。结果守门人自己身上带着一个随时能被远程利用的后门级漏洞，这个信任链条就断了。

我不是说天融信的产品不能用。国内做防火墙的厂商，哪家没出过漏洞？但问题在于态度和机制。漏洞本身不可怕，可怕的是同样类型的漏洞反复出现。缓冲区溢出修了又出，命令注入补了又来，这反映的不是某个程序员的一时疏忽，而是整个研发流程里安全左移的缺失。

写代码的人不把安全当回事，写出来的安全产品就只能是个摆设。

如果你在用天融信

第一件事，确认你的设备管理接口没有暴露在公网。如果必须有远程管理需求，套一层VPN，加白名单，别让443端口裸奔。第二件事，去官网下载最新固件，别管运维窗口期了，这个漏洞值得你半夜爬起来升级。第三件事，翻一翻设备日志，看看有没有异常的HTTP请求记录，特别是那些带;、|、`这类特殊字符的URL。

安全圈有句话：没有绝对安全的系统。这话没错，但它不该成为厂商躺平的借口。漏洞可以有，态度不能烂。