PowerFlex 3.X: Hoe het Apache Log4j-beveiligingslek in gateway en presentatieserver te verhelpen

Implementeer de volgende tijdelijke oplossing op het besturingssysteem van de PowerFlex presentatieserver:

Optie 1:

1. Download het .zip-bestand 'log4j-2.17.1-presentation_server_mitigation.zip ' van de PowerFlex-supportwebsite: https://www.dell.com/support/home/en-us/product-support/product/scaleio/drivers

Opmerking: Hiervoor zijn aanmeldingsmachtigingen vereist om te https://www.dell.com/support

2. SSH naar de presentatieserver en log in met de relevante referenties Kopieer de .zip met behulp van SCP of WinSCP naar de map waarbij u bent aangemeld.

Voor RHEL of CentOS 6, 7 of 8, SLES15.x en Ubuntu 18/20 gebruikt u de onderstaande wijzigingen om dit beveiligingsprobleem te verhelpen:

• Voor PowerFlex 3.6 of 3.5 voert u de volgende stappen uit:
  1. Controleer of de bestanden zich onder de volgende locatie bevinden: ls /opt/emc/scaleio/mgmt-server/lib/ |grep log4.
  2. Voer de volgende opdrachten uit om te verwijderen: 

rm /opt/emc/scaleio/mgmt-server/lib/log4j-*
unzip log4j-2.17.1-presentation_server_mitigation.zip -d /opt/emc/scaleio/mgmt-server/lib

Opmerking: als u niet hoeft uit te pakken op het besturingssysteem, kunt u het tar -xvf <zip-bestand> gebruiken of unzip installeren.

chown mgmt-server /opt/emc/scaleio/mgmt-server/lib/log4j*
chgrp mgmt-server /opt/emc/scaleio/mgmt-server/lib/log4j*

Nadat u de configuratiestappen hebt voltooid:

• Als u op een systeem draait waarop SELinux is ingeschakeld, voert u de volgende opdracht uit:

restorecon -Fv /opt/emc/scaleio/mgmt-server/lib/log4j*

Volg de onderstaande stap voor PowerFlex 3.6 met RHEL 7.x of 8.x, SLES en Ubuntu:

1. Gebruik de volgende opdracht om de mgmt-server-service opnieuw te starten (voor alle bovenstaande versies):

systemctl restart mgmt-server

• Voor PowerFlex 3.6 met RHEL 6.x volgt u de onderstaande stap:
  1. Gebruik de volgende opdrachten om de service opnieuw te starten:

initctl stop mgmt-server
initctl start mgmt-server

• Voor PowerFlex 3.5 op RHEL 7.x of 8.x volgt u de onderstaande stappen:

1. Gebruik de volgende opdracht om de daemonconfiguratiebestanden opnieuw te laden:

systemctl daemon-reload

2. Gebruik de volgende opdracht om de mgmt-server-service opnieuw te starten:

systemctl restart mgmt-server.service

Hierdoor kan de parameter goed worden ingelezen. Als u de service opnieuw start zonder de daemonconfiguratiebestanden opnieuw te laden, wordt er gebruik gemaakt van wat er in het geheugen zit en gebruikt u de parameterwijziging niet.

• Voor PowerFlex 3.5 op RHEL 6.x volgt u de onderstaande stap:
  1. Gebruik de volgende opdrachten om de service opnieuw te starten:

initctl stop mgmt-server
initctl start mgmt-server

Op dit moment is logboekregistratie nog steeds ingeschakeld en is het beveiligingslek ingeperkt. De log4j-bestanden kunnen ook worden verplaatst of verwijderd op de presentatieserver als een andere tijdelijke oplossing, maar dit stopt het loggen voor de presentatieserver. Alle configuratiewijzigingen worden nog steeds geregistreerd met het MDM en de traceerlogboeken aldaar.

Optie 2:

• Verwijder Log4j-bestanden uit het besturingssysteem met behulp van de volgende stappen:

Opmerking: Met deze optie wordt de functie voor het registreren van de presentatieserver verwijderd, maar blijft de MDM-gebeurtenisregistratie functioneren en clustergebeurtenissen registreren.

Voer de volgende opdracht uit:

rm -f /opt/emc/scaleio/mgmt-server/lib/log4j*

Nadat u de configuratiestappen hebt voltooid:

• Voor PowerFlex 3.6 met RHEL 7.x of 8.x volgt u de onderstaande stap:
  1. Gebruik de volgende opdracht om de mgmt-server-service opnieuw te starten (voor alle bovenstaande versies):

systemctl restart mgmt-server

• Voor PowerFlex 3.6 met RHEL 6.x volgt u de onderstaande stap:
  1. Gebruik de volgende opdrachten om de service opnieuw te starten:

initctl stop mgmt-server
initctl start mgmt-server

• Voor PowerFlex 3.5 op RHEL 7.x of 8.x volgt u de onderstaande stappen:
  1. Gebruik de volgende opdracht om de daemonconfiguratiebestanden opnieuw te laden:

systemctl daemon-reload

2. Gebruik de volgende opdracht om de mgmt-server-service opnieuw te starten:

systemctl daemon-reload

Hierdoor kan de nieuwe pot opnieuw worden geladen. Als u de service opnieuw start zonder de daemonconfiguratiebestanden opnieuw te laden, wordt gebruikt wat er in het geheugen zit en gebruikt u de wijziging niet.

• Voor PowerFlex 3.5 op RHEL 6.x volgt u de onderstaande stap:
  1. Gebruik de volgende opdrachten om de service opnieuw te starten:

initctl stop mgmt-server
initctl start mgmt-server

Op dit moment is logboekregistratie niet ingeschakeld en is het beveiligingslek ingeperkt.