Minderung von Java-Sicherheitslücken in OpenManage Server Administrator durch Aktualisierung der Java-Laufzeit

Die Sicherheitsscanneranwendung eines Drittanbieters erkennt möglicherweise das Vorhandensein von gebündelten Java 11 Laufzeitumgebungsbibliotheken von Dell OpenManage Server Administrator und identifiziert zahlreiche Sicherheitslücken. Viele Scanner listen in der Regel alle bekannten Schwachstellen auf, die von OpenJDK 11-Projekten dokumentiert sind.

Da Java eine Umgebung zur Anwendungsprogrammierung ist, wird in der Regel festgestellt, dass die meisten Java-Sicherheitslücken nicht auf Server Administrator zutreffen, da die Sicherheitslücke eine bestimmte Bibliothek oder Funktion betrifft, die Server Administrator nicht verwendet.

Server Administrator kann jedoch eine alternative Java Runtime Environment Version 11 laden, die im Betriebssystem installiert ist und neuer als die Java 11-Version sein kann, die in OMSA gebündelt ist. Dies kann in den folgenden Lösungsschritten erreicht werden.

Einige Sicherheitsscanner von Drittanbietern melden immer noch falsch-positive Warnungen aufgrund einfacher dateibasierter Scans innerhalb des Betriebssystems und der Erkennung des veralteten gebündelten Java 11, obwohl stattdessen die neuere alternative Java-Laufzeitumgebung geladen wird. Der Austausch des älteren gebündelten Java 11 kann in den folgenden Lösungsschritten erfolgen.

Server Administrator 10.3 und neuere Versionen wurden nur getestet und unterstützen offiziell das kostenlose OpenJDK 11-Projekt Eclipse Temurin (ehemals Adoptium). Windows- und Linux-Versionen des Temurin Java 11 Standard Edition-Installationspakets können hier heruntergeladen werden:

https://adoptium.net/temurin/releases/?version=11

Hinweis: Server Administrator unterstützt nur Java 11-Versionen. Laden Sie keine Java 17- oder neueren OpenJDK-Projekte herunter oder verwenden Sie diese nicht, da deren Application Programming Interface neuere, veraltete und geänderte Java-Funktionen enthält, die sich auf die grafische Benutzeroberfläche von Server Administrator auswirken könnten.

Angeben von Server Administrator Laden einer alternativen Temurin Java 11-Umgebung

1. Laden Sie von der Adoptium-Website die Windows- oder Linux-Version des kleineren "JRE"-Pakets mit der Architektur "x64" herunter
2. Befolgen Sie die Anweisungen zur Installation des alternativen Java-Laufzeitpakets im Betriebssystem, entweder auf jedem Host oder mithilfe von Bereitstellungstools von Drittanbietern
3. Starten Sie die grafische Benutzeroberfläche von Server Administrator über einen Browser.
4. Gehen Sie zu Einstellungen (oben rechts) und dann zu Allgemeine Einstellungen (am linken Rand)
5. Scrollen Sie nach unten zum Abschnitt Java Runtime Environment und aktivieren Sie System JRE/JDK
6. Wenn Server Administrator eine vorhandene installierte alternative Java-Laufzeitumgebung erkennt, listet er die Version im Pulldown-Menü auf
7. Klicken Sie auf die Schaltfläche Anwenden und der Server Administrator-Webservice muss neu gestartet werden.

Alternativ kann diese Einstellung auch programmgesteuert über die Server Administrator-Befehlszeile geändert werden. Dies ist auch nützlich, wenn ein Fehler gemacht wurde und die Weboberfläche nicht mehr erreichbar ist. So listen Sie die aktuell erkannten alternativen Java-Versionen auf:

omreport preferences webserver attribute=getjrelist

So ändern Sie die Einstellung:

omconfig preferences webserver attribute=setjre jreversion=<version>

Starten Sie "DSM SA Connection Service" unter Windows oder "dsm_om_connsvc.service" unter Linux neu.

So ändern Sie die bevorzugte Java-Laufzeitumgebung in Server Administrator zurück auf die gebündelte Version, wenn ein Fehler aufgetreten ist und nicht mehr auf die Weboberfläche zugegriffen werden kann:

omconfig preferences webserver attribute=setjre jreversion=<version>

Austauschen der in Server Administrator gebündelten Java-Laufzeitumgebung

Hinweis: Diese Methode erfordert eine manuelle Bereitstellung und wird nur empfohlen, um falsch positive Berichte von einem dateibasierten Sicherheitsscanner zu beheben. Die Version der Ersatz-Java-Laufzeitumgebung wird auch nicht auf der Seite Software in der Server Administrator-Webschnittstelle angezeigt.

Hinweis: Server Administrator unterstützt nur Java 11-Versionen. Laden Sie keine Java 17- oder neueren OpenJDK-Projekte herunter oder verwenden Sie diese nicht, da deren Application Programming Interface neuere, veraltete und geänderte Java-Funktionen enthält, die sich auf die grafische Benutzeroberfläche von Server Administrator auswirken könnten.

1. Laden Sie von der Adoptium-Website die Windows- oder Linux-Version des kleineren "JRE"-Pakets mit der Architektur "x64" herunter. Stellen Sie sicher, dass Sie die Formate .zip bzw. .tar.gz auswählen.
2. Extrahieren Sie den gesamten Dateiinhalt in einen Ordner, der in "jre" umbenannt wurde
3. Beenden Sie "DSM SA Connection Service" unter Windows oder "dsm_om_connsvc.service" unter Linux.
4. Benennen Sie den Ordner um, um den vorhandenen Ordner zu sichern: C:\Program Files\Dell\SysMgmt\jre\ (Windows) oder /opt/dell/srvadmin/lib64/openmanage/jre/ (Linux)
5. Tauschen Sie es mit dem neueren heruntergeladenen Temurian Java 11 Runtime-Paket aus, dessen Ordner kürzlich in "jre" umbenannt wurde
6. Starten Sie den Server Administrator-Webservice.