PowerProtect DP Serisi Cihaz ve IDPA: Cihaz Yapılandırma Yöneticisi'nde LDAP Anonim Dizin Erişimine İzin Veriliyor.
Summary: Bir müşteri, IDPA sürüm 2.7.1'i kullandığı DP4400 cihazında aşağıdaki güvenlik açığının bulunduğunu bildirdi. Basit Dizin Erişim Protokolü (LDAP) kullanıcılar, gruplar vb. hakkında bilgi sağlamak için kullanılabilir. Bu sistemdeki LDAP hizmeti anonim bağlantılara olanak tanır. Kötü niyetli kullanıcıların bu bilgilere erişim sağlaması, kötü amaçlı daha fazla saldırı başlatmalarına yardımcı olabilir. ...
This article applies to
This article does not apply to
This article is not tied to any specific product.
Not all product versions are identified in this article.
Symptoms
Müşteri, dahili LDAP'ye sahip bir IDPA DP4400 sistemi kullanıyor ve IDPA sisteminde güvenlik taraması gerçekleştirdikten sonra anonim LDAP bağlama güvenliği sorunuyla karşılaşıyor.
Cause
ACM'deki LDAP Anonim Dizin Erişimi özelliği, kötü niyetli kullanıcıların kullanıcılara, gruplara vb. öğelere erişim sağlayabilmesine neden oluyor.
Resolution
NOT: ACM'de LDAP anonim arama devre dışı bırakıldıktan sonra, IDPA yazılım sürümü 2.7.3'te veya daha önceki geçerli ACM parolasını değiştirme iş akışında bir kod istisnası tetikler. Bu güvenlik çözümü uygulanmadan sonra parola değişikliği gerekirse lütfen ACM'de LDAP 000212941 arama özelliğini yeniden etkinleştirmek için KB makalesini izleyin. Parola değişikliği başarıyla tamamlandığında LDAP anonim arama tekrar devre dışı bırakılabilir.
Cihaz Yapılandırma Yöneticisi'nde LDAP Anonim Dizin Erişimi özelliğini devre dışı bırakmak için aşağıdaki adımları izleyin.
1. ACM'de "kök" kullanıcı olarak SSH oturumu açın.
2.Şu komutu kullanarak LDAP'yi yeniden başlatın: systemctl restart slapd
3. Şu komutu kullanarak ldif dosyası oluşturun:
vi /etc/openldap/ldap_disable_bind_anon.ldif
Aşağıdaki içeriği dosyaya yapıştırın:
dn: cn=config
changetype: modify
add: olcDisallows
olcDisallows: bind_anon
dn: cn=config
changetype: modify
add: olcRequires
olcRequires: authc
dn: olcDatabase={-1}frontend,cn=config
changetype: modify
add: olcRequires
olcRequires: authc
Ardından ACM'de aşağıdaki komutu çalıştırın:
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/ldap_disable_bind_anon.ldif
Örnek Çıktı
acm-xxxx:~ # ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/ldap_disable_bind_anon.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
modifying entry "cn=config"
modifying entry "cn=config"
modifying entry "olcDatabase={-1}frontend,cn=config"
4. Düzeltmenin gerçekleştirildiğini test etmek için aşağıdaki komutu çalıştırın:
2.6 ve üzeri sürümlerde aşağıdaki komutu çalıştırın:
ldapsearch -x -b "dc=idpa,dc=local" "*" -h |awk '/dn: / {print $2}'
2.5 ve sonraki sürümlerde aşağıdaki komutu çalıştırın:
ldapsearch -x -b "dc=idpa,dc=com" "*" -h |awk '/dn: / {print $2}'
Örnek Çıktı:
acm-xxxxx:~ # ldapsearch -x -b "dc=idpa,dc=local" "*" -h acm-5800-crk.dp.ce.gslabs.lab.emc.com |awk '/dn: / {print $2}'
ldap_bind: Inappropriate authentication (48)
additional info: anonymous bind disallowedAdditional Information
NOT: Yukarıdaki KB'den sonra bir sorun bildirilmiştir.
ACM'de LDAP anonim arama devre dışı bırakıldıktan sonra, IDPA yazılım sürümü 2.7.3'te veya daha önceki geçerli ACM parolasını değiştirme iş akışında bir kod istisnası tetikler. LDAP anonim erişimi devre dışı bırakarak cihaz post'unun parola değişikliğinin gerekli olması durumunda, ACM'de LDAP anonim arama özelliğini yeniden etkinleştirmek için 000212941 makalesini izleyin. Parola değişikliği başarıyla tamamlandığında LDAP anonim arama tekrar devre dışı bırakılabilir.
Parola değişikliği gerekirse lütfen ACM'de LDAP 000212941 arama özelliğini yeniden etkinleştirmek için 000212941 makalesini izleyin. Parola değişikliği başarıyla tamamlandığında LDAP anonim arama tekrar devre dışı bırakılabilir.
ACM'de LDAP anonim arama devre dışı bırakıldıktan sonra, IDPA yazılım sürümü 2.7.3'te veya daha önceki geçerli ACM parolasını değiştirme iş akışında bir kod istisnası tetikler. LDAP anonim erişimi devre dışı bırakarak cihaz post'unun parola değişikliğinin gerekli olması durumunda, ACM'de LDAP anonim arama özelliğini yeniden etkinleştirmek için 000212941 makalesini izleyin. Parola değişikliği başarıyla tamamlandığında LDAP anonim arama tekrar devre dışı bırakılabilir.
Parola değişikliği gerekirse lütfen ACM'de LDAP 000212941 arama özelliğini yeniden etkinleştirmek için 000212941 makalesini izleyin. Parola değişikliği başarıyla tamamlandığında LDAP anonim arama tekrar devre dışı bırakılabilir.
Affected Products
PowerProtect Data Protection Software, Integrated Data Protection Appliance Family, Integrated Data Protection Appliance SoftwareProducts
PowerProtect DP4400, PowerProtect DP5300, PowerProtect DP5800, PowerProtect DP8300, PowerProtect DP8800, PowerProtect DP5900, PowerProtect DP8400, PowerProtect DP8900Article Properties
Article Number: 000196092
Article Type: Solution
Last Modified: 03 May 2023
Version: 7
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.