华为路由器漏洞

2024年3月，器漏一条关于华为路由器的器漏安全公告在技术圈子里传开。编号CVE-2024-28908，器漏CVSS评分9.8。器漏这个分数意味着什么？器漏满分10分，9.8基本等于“你路由器被人从外网直接接管了”。器漏受影响的器漏不只是某款冷门型号，而是器漏华为旗下多款家用和商用路由器，包括AX3、器漏AX3 Pro、器漏WS7100、器漏WS7200等出货量极大的器漏产品线。

漏洞本身出在路由器的器漏HTTP接口上。攻击者不需要认证，器漏不需要物理接触，器漏只要目标路由器的管理界面暴露在公网，就能通过构造特定请求实现远程代码执行。说人话就是：你路由器如果开了远程管理，或者运营商配置不当把管理端口映射到了外网，别人就能直接在你路由器上跑任意代码。改DNS、劫持流量、植入后门，想干什么干什么。

我翻了下华为的修复时间线。3月25日发布安全公告，4月初推送固件更新。节奏不算慢，但问题在于——大量用户根本不知道自己的路由器需要更新。家用路由器这东西，装上去就忘了，除非断网否则没人会登录管理后台看一眼。华为通过OTA推送了部分更新，但很多老型号或者运营商定制版压根没收到推送。我手上有一台WS7200，检查更新时提示“已是最新版本”，但版本号对不上公告里的修复版本。后来手动去官网下载固件刷进去才解决。这种体验，说实话挺让人上火的。

更值得聊的是漏洞的发现过程。这次不是华为安全实验室自己扫出来的，而是外部研究者提交的。具体细节华为没公开，但从补丁的diff来看，问题出在对HTTP请求参数的边界检查上——一个典型的栈溢出。这种漏洞在嵌入式设备里太常见了，路由器厂商堆功能、赶工期，输入验证经常糊弄过去。华为的路由器固件基于Linux，底层是OpenWrt改的，代码量不小，出这种问题不算意外。但华为不是小厂，安全响应流程应该更成熟才对。

我注意到一个细节：公告里提到“特定配置下”才会触发。什么叫特定配置？就是管理界面开了远程访问，或者UPnP把端口暴露了。默认情况下，华为路由器的管理界面只允许局域网访问，这层防护挡住了大部分攻击。可现实是，很多用户为了图方便，或者被某些“远程管理”教程忽悠，主动把管理端口开到了公网。运营商的光猫桥接配置也有坑，有些地区会把路由器的WAN口管理权限打开。这些叠加起来，风险就不是理论上的了。

Shodan上搜一下华为路由器的管理界面，暴露在公网的IP数量不少。具体数字我不列了，免得像在教人干坏事。但你可以自己去搜，关键词一输，结果一目了然。这些设备里有多少还没打补丁？保守估计三成以上。家用路由器没有自动更新习惯，厂商推送能力也参差不齐，这是整个行业的通病，华为不是唯一一家，但作为头部厂商，它应该做得更好。

修复建议就几条：检查固件版本，去官网手动下载对应型号的最新固件；关闭管理界面的远程访问功能；如果不需要UPnP，关掉；实在不放心，把路由器恢复出厂设置后重新配置，别用默认密码。华为的固件更新页面做得还行，输入型号就能找到下载链接，比某些厂商藏在地下三层的支持页面强多了。

这事给我最大的感受是：路由器安全被严重低估了。大家愿意花几千块买手机，却觉得路由器随便送的那个就行。一个没打补丁的路由器，就是你家网络的敞开大门。华为这次漏洞只是冰山一角，TP-Link、网件、华硕，谁家没出过几个高危漏洞？区别只在于厂商响不响应、用户修不修复。CVE-2024-28908会被记住，但下一个漏洞已经在路上了。