CVE-2025-56752：锐捷网络设备曝高危漏洞 远程攻击者无需认证即可获取完全管理员权限

锐捷网络针对其Reyee RG-ES系列交换机发布安全通告，修复一个可导致攻击者未授权修改设备登录凭据的高危漏洞（CVE-2025-56752）。该漏洞CVSS评分为9.4，对生产环境中使用相关设备的机构构成重大风险。

通告指出：”部分锐捷Reyee RG-ES系列设备存在允许未授权修改密码的漏洞，攻击者可利用此漏洞篡改设备的eWeb登录密码。”

实际攻击中，远程攻击者可在无需认证的情况下获取设备完全管理权限，从而控制配置、流量及设备行为。

受影响设备型号

RG-ES系列：
RG-ES216GC-V2、RG-ES224GC-V2、RG-ES220GS-P、RG-ES228GS-P
RG-ES209GC-P、RG-ES205GC-P、RG-ES205GC、RG-ES208GC
RG-ES206GS-P、RG-ES210GS-P、RG-ES218GC-P、RG-ES226GC-P
RG-ES206GC-P、RG-ES216GC、RG-ES224GC、RG-ES210GC-LP
RG-ES206MG-P、RG-ES209MG-P

RG-NIS系列：
RG-NIS2100-8GT2SFP-HP、RG-NIS2100-4GT2SFP-HP

修复方案

锐捷已发布固件更新，受影响用户需根据型号升级至以下版本：

1. ESW_1.0(1)B1P48或更高版本
2. Release(12142711)、Release(12162701)或更高版本

支持自动更新的设备将提示安装补丁，管理员也可通过锐捷官网或本地售后获取更新固件。

锐捷确认漏洞由其内部研发团队与安全研究员Tal Hershberg发现并负责任披露。

用户应对建议

1. 立即升级受影响设备至修复版本
2. 限制管理接口仅允许可信管理网络访问
3. 启用多因素认证（如支持）
4. 监控异常配置变更或登录尝试