ECS：Apache Log4jリモートコード実行の脆弱性に対するECSソリューション

Summary: Apache Log4jのセキュリティ脆弱性

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.

Check out other resources

Symptoms

CVE識別子 CVE-2021-44228
CVE識別子 CVE_2021-45046

Apacheの公開：Apache Log4jリモートコードの実行

Cause

Apache Log4jのセキュリティ脆弱性

Resolution

この手順は誰が実行すべきですか？

Dellでは、xDoctorをアップグレードし、パッチをインストールする手順を実行するようお客様に依頼しています。これは、このApacheの脆弱性への長時間の露出を回避するため、最も迅速かつ安全な方法です。すべての手順については、このKBで詳しく説明しています。また、以下のリンクにあるこのKBに付随するビデオガイドもあります。

ビデオ：Apache-Log4j

手順の影響：

サービスの再起動中に、I/Oタイムアウトが発生する可能性があります。クラスターにアクセスしているアプリケーションは、I/Oタイムアウトを処理できる必要があります。この手順を実行するタイミングは、メンテナンス期間が推奨されます。

このアクティビティーに要する時間（概算）：

ノードごとのサービスの再起動の間隔は、デフォルトで約7分の遅延が設定されています。仮想データセンター(VDC)内のノード数に7分をかけ合わせ、必要な準備、DT安定化、および事後チェックのための60分を足します。

例:
48ノードのVDCシステムには約6.5時間かかります。
7.5分 x 48(VDCノードの数) + 30分(準備) = 6.5時間または390分

8ノードVDCシステムには約1.5時間かかります。
7.5分 x 8(VDCノードの数) + 30分(準備) = 1.5時間または90分

よくある質問/FAQ：

Q: パッチはxDoctorリリースの一部です
ある：パッチインストールスクリプトは、xDoctorリリース4.8-79.1以降の一部です。xDoctorのダウンロードおよびパッチインストールの実行に関する手順は、解決手順に含まれています。

問い: 複数のVDCを並行してアップデートできますか
ある：いいえ。 一度に1 VDCにパッチを適用します。

Q: コードバージョン3.2.x以前を実行しているECSでこのパッチを適用できますか？
A：いいえ、このパッチはECSバージョン3.3.x～3.6.xにのみ適用されます。サービスリクエストを開き、以前のバージョンのアップグレードをスケジュールします。

Q: この手順を実行した後にECSをアップグレードする場合、アップグレード後に手順を再実行する必要はありますか
ある：いいえ。 永続的な修正を含むDSA-2021-273で指定されたコードバージョンにアップグレードする場合は可能です。はい( この同じDSAで指定 されていない コードバージョンにアップグレードする場合)。

Q: ノードの交換、再イメージ化、または拡張の後に、以前にインストールされていたシステムにパッチを再適用する必要がありますか
ある：いいえ(VDCがDSA-2021-273で指定されているコードバージョンの場合)。はい( この同じDSAで指定 されていない コードバージョンを実行しているVDCに対してこれらのアクションのいずれかを実行する場合)。これらのシナリオでパッチが必要な場合は、問題のDellエンジニアがアップデートが必要であることを連絡します。

Q: このKBのすべてのコマンドを実行するには、どのユーザーとしてログインする必要がありますか
ある：Admin

Q: svc_patchは、すべてのラックで実行する必要がありますか、またはVDC内の複数のラックを含む特殊なMACHINESファイルを使用して実行する必要がありますか
ある：いいえ。複数のラックが存在する場合は自動検出され、そのVDC上のすべてのラックのすべてのノードがアップデートされます。

Q: ターゲットのxDoctorリリースが4.8-79.0ではなく、4.8-79.1になりました。なぜでしょうか
A: xDoctor のリリースは頻繁に行われるため、常に最新のリリースバージョンにアップグレードすることをお勧めします。ただし、以前に4.8-79.0を使用してApache修正を実行したことがある場合、システムは脆弱性から 完全に保護 されているため、再実行する必要はありません。

解決策のまとめ：

ECS xDoctorソフトウェアをバージョン4.8.-79.1以降にアップグレード
事前チェックを実行します。
xDoctorに含まれているsvc_patchツールを使用して、システムパッチを適用します。
修正が適用されていることを確認します。
トラブルシューティング。

解決策の手順：

1.ECS xDoctorソフトウェアを最新バージョンにアップグレードします。

システムで実行されているxDoctorのバージョンを確認します。バージョンが4.8-79.1以降の場合は、ステップ2「事前チェックの実行」に進みます。そうでない場合は、次の手順に進みます。

コマンド：
```
# sudo xdoctor --version
```
Example:
```
admin@node1:~> sudo xdoctor --version
4.8-79.1
```
サポートサイトにログインし、ダウンロードリンクに直接接続し、キーワード検索を使用してxDoctorを検索し、xDoctor RPMリンクをクリックしてダウンロードします。リリースノートを表示するには、リリースノートに従って、ダウンロード可能なサイドバーから[マニュアルおよびドキュメント]を選択します。
RPMがダウンロードされたら、任意のリモートSCPプログラムを使用して、最初のECSノードの/home/adminディレクトリーにファイルをアップロードします。
アップロードが完了したら、adminを使用してそのECSシステムの最初のノードにSSHで接続します。

新しく頒布されたバージョンを使用して、すべてのノードでxDoctorをアップグレードします。

コマンド：

# sudo xdoctor --upgrade --local=/home/admin/xDoctor4ECS-4.8-79.1.noarch.rpm

Example:

admin@node1:~> sudo xdoctor --upgrade --local=/home/admin/xDoctor4ECS-4.8-79.1.noarch.rpm
2021-12-20 12:06:11,358: xDoctor_4.8-78.2 - INFO    : xDoctor Upgrader Instance (2:FTP_SFTP)
2021-12-20 12:06:11,358: xDoctor_4.8-78.2 - INFO    : Local Upgrade (/home/admin/xDoctor4ECS-4.8-79.1.noarch.rpm)
2021-12-20 12:06:11,392: xDoctor_4.8-78.2 - INFO    : Current Installed xDoctor version is 4.8-78.2
2021-12-20 12:06:11,429: xDoctor_4.8-78.2 - INFO    : Requested package version is 4.8-79.1
2021-12-20 12:06:11,430: xDoctor_4.8-78.2 - INFO    : Updating xDoctor RPM Package (RPM)
2021-12-20 12:06:11,482: xDoctor_4.8-78.2 - INFO    :  - Distribute package
2021-12-20 12:06:12,099: xDoctor_4.8-78.2 - INFO    :  - Install new rpm package
2021-12-20 12:06:37,829: xDoctor_4.8-78.2 - INFO    : xDoctor successfully updated to version 4.8-79.1

環境がマルチラックVDCの場合は、新しいxDoctorパッケージを各ラックの最初のノードにインストールする必要があります。これらのラックのプライマリーを識別するには、次のコマンドを実行します。この例では、4台のラックと4台のラックプライマリーがハイライト表示されています。

コマンド：

# svc_exec -m "ip address show private.4 |grep -w inet"

Example:

admin@ecsnode1~> svc_exec -m "ip address show private.4 |grep -w inet"
svc_exec v1.0.2 (svc_tools v2.1.0)                 Started 2021-12-20 14:03:33

Output from node: r1n1                                retval: 0
    inet 169.254.1.1/16 brd 169.254.255.255 scope global private.4

Output from node: r2n1                                retval: 0
    inet 169.254.2.1/16 brd 169.254.255.255 scope global private.4

Output from node: r3n1                                retval: 0
    inet 169.254.3.1/16 brd 169.254.255.255 scope global private.4

Output from node: r4n1                                retval: 0
    inet 169.254.4.1/16 brd 169.254.255.255 scope global private.4

そのシステムの最初のノード(R1N1)から、それ以降の他のラックプライマリーにパッケージをコピーします。

Example:

admin@ecsnode1~> scp xDoctor4ECS-4.8-79.1.noarch.rpm 169.254.2.1:/home/admin/
xDoctor4ECS-4.8-79.1.noarch.rpm                                                                                                                        100%   32MB  31.9MB/s   00:00
admin@ecsnode1~> scp xDoctor4ECS-4.8-79.1.noarch.rpm 169.254.3.1:/home/admin/
xDoctor4ECS-4.8-79.1.noarch.rpm                                                                                                                        100%   32MB  31.9MB/s   00:00
admin@ecsnode1~> scp xDoctor4ECS-4.8-79.1.noarch.rpm 169.254.4.1:/home/admin/
xDoctor4ECS-4.8-79.1.noarch.rpm                                                                                                                        100%   32MB  31.9MB/s   00:00
admin@ecsnode1~>

上記の手順eに従って、前に特定した上記の各ラックプライマリーで同じxDoctorインストールコマンドを実行します。

コマンド：
```
# sudo xdoctor --upgrade --local=/home/admin/xDoctor4ECS-4.8-79.1.noarch.rpm
```

2.事前チェックを実行します。

svc_dtコマンドを使用して、DTが安定しているかどうかを確認します。[Unready #]列に 0が表示されている場合、DTは安定しています。その場合は、次のチェックに進みます。そうでない場合は、15分待ってからもう一度確認します。DTが安定していない場合は、ECSサポートチームでサービスリクエストを開きます。

コマンド：

# svc_dt check -b

Example:

admin@node1:~> svc_dt check -b

svc_dt v1.0.25 (svc_tools v2.0.2)                 Started 2021-12-16 16:44:51

Date                     Total DT       Unknown #      Unready #      RIS Fail #     Dump Fail #    Check type     Time since check   Check successful

2021-12-16 16:43:44      2432           0              0              0              0              AutoCheck      1m 7s              True
2021-12-16 16:42:33      2432           0              0              0              0              AutoCheck      2m 18s             True
2021-12-16 16:41:23      2432           0              0              0              0              AutoCheck      3m 28s             True
2021-12-16 16:40:13      2432           0              0              0              0              AutoCheck      4m 38s             True
2021-12-16 16:39:02      2432           0              0              0              0              AutoCheck      5m 49s             True
2021-12-16 16:37:52      2432           0              0              0              0              AutoCheck      6m 59s             True
2021-12-16 16:36:42      2432           0              0              0              0              AutoCheck      8m 9s              True
2021-12-16 16:35:31      2432           0              0              0              0              AutoCheck      9m 20s             True
2021-12-16 16:34:21      2432           0              0              0              0              AutoCheck      10m 30s            True
2021-12-16 16:33:11      2432           0              0              0              0              AutoCheck      11m 40s            True

svc_patchコマンドを使用して、すべてのノードがオンラインであることを確認します。すべてのノードがオンラインの場合は、次の手順に進みます。そうでない場合は、理由を調査し、オンラインに戻し、チェックを再度実行します。ノードをオンラインにできない場合は、ECSサポートチームでサービスリクエストを開き、調査を依頼します。

コマンド：

# /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch status

Example:

admin@node1:~> /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch status
svc_patch Version 2.9.1

Verifying patch bundle consistency                    DONE
Detecting nodes in current VDC                        DONE
Reading in patch details (1 of 2)                     DONE
Reading in patch details (2 of 2)                     DONE
Validating nodes are online                           DONE
Checking Installed Patches and Dependencies           DONE

Patches/releases currently installed:
        [ None detected ]

Patches that need to be installed:
        CVE-2021-44228_log4j-fix_3.3.x-3.6.2                    (PatchID: 3298)

Files that need to be installed:
        /opt/storageos/lib/log4j-core-2.5.jar                   (from CVE-2021-44228_log4j-fix_3.3.x-3.6.2)

The following services need to be restarted:
        ALL

3.xDoctorに含まれているsvc_patchツールを使用して、システムパッチを適用します。

svc_patchコマンドを実行し、「y」と入力し、パッチのインストールを求めるプロンプトが表示されたら Enter キーを押します。このコマンドは、どのECSノードでも実行できます。

コマンド：

# screen -S patchinstall

# unset TMOUT

# /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch install

Example:

注：次の出力に、続行するためのプロンプトが表示されます。

admin@node1:~> screen -S patchinstall
admin@node1:~> unset TMOUT
admin@node1:~> /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch install
svc_patch Version 2.9.1

Verifying patch bundle consistency                    DONE
Detecting nodes in current VDC                        DONE
Reading in patch details (1 of 2)                     DONE
Reading in patch details (2 of 2)                     DONE
Validating nodes are online                           DONE
Checking Installed Patches and Dependencies           DONE

Patches/releases currently installed:
        [ None detected ]

Patches that will be installed:
        CVE-2021-44228_log4j-fix_3.3.x-3.6.2                    (PatchID: 3298)

Files that will be installed:
        /opt/storageos/lib/log4j-core-2.5.jar                   (from CVE-2021-44228_log4j-fix_3.3.x-3.6.2)

The following services will be restarted:
        ALL

Patch Type:                                                     Standalone
Number of nodes:                                                8
Number of seconds to wait between restarting node services:     450
Check DT status between node service restarts:                  true

Do you wish to continue (y/n)?y

[...Truncated Output of each node Distributing files and restarting services...]
Distributing files to node 1xx.xxx.xx.xx
Distributing patch installer to node '1xx.xxx.xx.xx'


Restarting services on 1xx.xxx.xx.xx
Restarting all services
Waiting 180 seconds for services to stabilize...

[...Truncated Output of each node Distributing files and restarting services...]

Stopping ViPR services..done
Services status 3: stat georeceiver eventsvc blobsvc dataheadsvc blobsvc-perf blobsvc-fi resourcesvc resourcesvc-perf resourcesvc-fi rm cm ssm objcontrolsvc metering sr storageserver nvmeengine nvmetargetviewer dtquery dtsm vnest coordinatorsvc ecsportalsvc transformsvc
Setting up SSL certificates ...done
Starting ViPR services..done
Waiting 300 seconds for services to stabilize...DONE

Patching complete.
admin@node1:~>

上記の出力に従ってアップデートが完了したら、セッション画面を終了します。

Example:
```
admin@node1:/> exit
logout


[screen is terminating]
admin@node1:/>
```
注：実行中にPuTTYセッションを誤って閉じた場合は、同じノードに再度ログインして再接続し、次のコマンドを実行します。

コマンド：
```
# screen -ls
```
```
admin@node 1:~> screen -ls
There is a screen on:
        114475.pts-0.ecs-n3     (Detached)
1 Socket in /var/run/uscreens/S-admin.
```
前の出力からデタッチされたセッションに再接続します。
```
admin@node1:~> screen -r 114475.pts-0.ecs-n3
```

4.修正が適用されていることを確認します。

以下の出力は、修正が適用されているシステムからの出力です。

コマンド：

# /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch status

Example:

admin@node1:/> /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch status
svc_patch Version 2.9.1

Verifying patch bundle consistency                    DONE
Detecting nodes in current VDC                        DONE
Reading in patch details (1 of 2)                     DONE
Reading in patch details (2 of 2)                     DONE
Validating nodes are online                           DONE
Checking Installed Patches and Dependencies           DONE

Patches/releases currently installed:
        CVE-2021-44228_log4j-fix_3.3.x-3.6.2     (PatchID: 3298)        Fixes for Log4j vulnerabilities CVE-2021-44228 and CVE-2021-45046

Patches that need to be installed:

        No files need to be installed.


The following services need to be restarted:
        No services need to be restarted.

以下の出力は、修正が適用されていないシステムからの出力です。

Example:

admin@node1:/> /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch status
svc_patch Version 2.9.1

Verifying patch bundle consistency                    DONE
Detecting nodes in current VDC                        DONE
Reading in patch details (1 of 2)                     DONE
Reading in patch details (2 of 2)                     DONE
Validating nodes are online                           DONE
Checking Installed Patches and Dependencies           DONE

Patches/releases currently installed:
        [ None detected ]

Patches that need to be installed:
        CVE-2021-44228_log4j-fix_3.3.x-3.6.2                    (PatchID: 3298)

Files that need to be installed:
        /opt/storageos/lib/log4j-core-2.5.jar                   (from CVE-2021-44228_log4j-fix_3.3.x-3.6.2)

The following services need to be restarted:
        ALL

トラブルシューティング:

DT安定化に時間がかかりすぎる

DT安定化にデフォルトの7.5分よりも長い時間がかかる場合、アプリケーションはパッチプロセスを続行するか中止するかsvc_patchプロンプトを表示します。

Example:

admin@node1:~> /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch install

[...Truncated Output of each node Distributing files and restarting services...]
Restarting services on 1xx.xx.xx.xx
Restarting all services
Waiting 180 seconds for services to stabilize...DONE
Waiting for DTs to come online
ERROR: DT Check failed. DTs did not come ready or could not be checked after several passes.

Do you wish to continue anyway (y/n)?

別のノードでPuTTYセッションを開きsvc_dtコマンドを実行して[Unready #]列のDTを確認します。「0」の値がない場合は、15分待ってから再度チェックを実行します。「Unready」のDTがない場合は、svc_patchを使用してセッションに戻ります。「y」と答えて続行します。svc_dtが引き続き「Unready #」のDTの値をリストする場合は、ECSサポートチームでサービスリクエストを開きます。

コマンド：

# svc_dt check -b

Example:

admin@node1:~> svc_dt check -b

svc_dt v1.0.25 (svc_tools v2.0.2)                 Started 2021-12-15 17:18:52

Date                     Total DT       Unknown #      Unready #      RIS Fail #     Dump Fail #    Check type     Time since check   Check successful

2021-12-15 17:17:54      1920           0              0              0              0              AutoCheck      0m 58s             True
2021-12-15 17:16:44      1920           0              0              0              0              AutoCheck      2m 8s              True
2021-12-15 17:16:10      1920           0              0              0              0              Manual Check   2m 42s             True
2021-12-15 17:15:34      1920           0              0              0              0              AutoCheck      3m 18s             True
2021-12-15 17:14:24      1920           0              0              0              0              AutoCheck      4m 28s             True
2021-12-15 17:13:13      1920           0              0              0              0              AutoCheck      5m 39s             True
2021-12-15 17:12:03      1920           0              0              0              0              AutoCheck      6m 49s             True
2021-12-15 17:10:53      1920           0              0              0              0              AutoCheck      7m 59s             True
2021-12-15 17:09:43      1920           0              0              0              0              AutoCheck      9m 9s              True
2021-12-15 17:08:32      1920           0              0              0              0              AutoCheck      10m 20s            True

画面では実行されず、PuTTYセッションが途中で終了するため、すべてのサービスがすべてのノードで再起動されません。

Example: ログインし直した後、6ノード中4ノードでサービスが再起動しました。以下でハイライト表示されている節点5と6を参照してください。

admin@node1:~> /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch status
svc_patch Version 2.9.1
Verifying patch bundle consistency                    DONE
Detecting nodes in current VDC                        DONE
Reading in patch details (1 of 2)                     DONE
Reading in patch details (2 of 2)                     DONE
Validating nodes are online                           DONE
Checking Installed Patches and Dependencies           DONE
All nodes currently do not have the same patches installed.
Patches/releases currently installed:
        169.254.1.1: CVE-2021-44228_45046_log4j-fix
        169.254.1.2: CVE-2021-44228_45046_log4j-fix
        169.254.1.3: CVE-2021-44228_45046_log4j-fix
        169.254.1.4: CVE-2021-44228_45046_log4j-fix
        169.254.1.5: CVE-2021-44228_45046_log4j-fix
        169.254.1.6: CVE-2021-44228_45046_log4j-fix
        
Patches that need to be installed:
        169.254.1.1: <None>
        169.254.1.2: <None>
        169.254.1.3: <None>
        169.254.1.4: <None>
        169.254.1.5: <None>
        169.254.1.6: <None>
        
Files that need to be installed:
        169.254.1.1: <None>
        169.254.1.2: <None>
        169.254.1.3: <None>
        169.254.1.4: <None>
        169.254.1.5: <None>
        169.254.1.6: <None>
        
Services that need to be restarted:
        169.254.1.1: <None>
        169.254.1.2: <None>
        169.254.1.3: <None>
        169.254.1.4: <None>
        169.254.1.5: ALL
        169.254.1.6: ALL
admin@ecsnode1:~>

解像度：
手順を再度実行し、最初に実行されなかった残りのノードのサービスを再起動します。サービスが再起動された元のノードはそのままです。

admin@node1:~> /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch install
svc_patch Version 2.9.1
Verifying patch bundle consistency                    DONE
Detecting nodes in current VDC                        DONE
Reading in patch details (1 of 2)                     DONE
Reading in patch details (2 of 2)                     DONE
Validating nodes are online                           DONE
Checking Installed Patches and Dependencies           DONE
All nodes currently do not have the same patches installed.
Patches/releases currently installed:
        169.254.1.1: CVE-2021-44228_45046_log4j-fix
        169.254.1.2: CVE-2021-44228_45046_log4j-fix
        169.254.1.3: CVE-2021-44228_45046_log4j-fix
        169.254.1.4: CVE-2021-44228_45046_log4j-fix
        169.254.1.5: CVE-2021-44228_45046_log4j-fix
        169.254.1.6: CVE-2021-44228_45046_log4j-fix
        Patches that will be installed:
        169.254.1.1: <None>
        169.254.1.2: <None>
        169.254.1.3: <None>
        169.254.1.4: <None>
        169.254.1.5: <None>
        169.254.1.6: <None>
        Files that will be installed:
        169.254.1.1: <None>
        169.254.1.2: <None>
        169.254.1.3: <None>
        169.254.1.4: <None>
        169.254.1.5: <None>
        169.254.1.6: <None>
        Services that will be restarted:
        169.254.1.1: <None>
        169.254.1.2: <None>
        169.254.1.3: <None>
        169.254.1.4: <None>
        169.254.1.5: ALL
        169.254.1.6: ALL
Patch Type:                                                     Standalone
Number of nodes:                                                8
Number of seconds to wait between restarting node services:     450
Check DT status between node service restarts:                  true
Do you wish to continue (y/n)?y
No files to install on 169.254.1.1
        Distributing patch installer to node '169.254.1.1'
No files to install on 169.254.1.2
        Distributing patch installer to node '169.254.1.2'
No files to install on 169.254.1.3
        Distributing patch installer to node '169.254.1.3'
No files to install on 169.254.1.4
        Distributing patch installer to node '169.254.1.4'
No files to install on 169.254.1.5
        Distributing patch installer to node '169.254.1.5'
No files to install on 169.254.1.6
        Distributing patch installer to node '169.254.1.6'
No services to restart on 169.254.1.1
No services to restart on 169.254.1.2
No services to restart on 169.254.1.3
No services to restart on 169.254.1.4
Restarting services on 169.254.1.5
        Restarting all services
        Waiting 450 seconds for services to stabilize...DONE
        Waiting for DTs to come online
Restarting services on 169.254.1.6
        Restarting all services
        Waiting 450 seconds for services to stabilize...DONE
        Waiting for DTs to come online
Patching complete.
admin@ecsnode1:~>

パッチの適用中に既知のホストのリストにホストを追加できませんでした。

Example:

svc_patch Version 2.9.1

Verifying patch bundle consistency                    DONE
Detecting nodes in current VDC                        DONE
Reading in patch details (1 of 2)                     DONE
Reading in patch details (2 of 2)                     DONE
Validating nodes are online                           FAILED

ERROR: Could not execute commands on the object-main container on 169.254.x.x
  Output was 'Failed to add the host to the list of known hosts (/home/admin/.ssh/known_hosts).
:patchtest:'

Patching is unable to continue with unreachable nodes.  To proceed:
 - Resolve problems accessing node(s) from this one.
 - Manually pass a MACHINES file containing the list of working nodes to patch (not recommended).
 - Contact your next level of support for other options or assistance.

解像度：
その理由は、ファイル/home/admin/.ssh/known_hostsのユーザーがrootであり、デフォルトでadminになっていることが原因である可能性があります。

Example:

admin@node1:~> ls -l  /home/admin/.ssh/known_hosts
-rw------- 1 root root 1802 Jul 23  2019 /home/admin/.ssh/known_hosts
admin@ecs:~>

別のPuTTYセッションから問題を解決するには、報告されたノードにログインし、報告されたすべてのノードで次のコマンドを使用して、rootユーザーとして存在するノードでユーザーをadminに変更します。

コマンド：

#  sudo chown admin:users /home/admin/.ssh/known_hosts

Example:

admin@node1:~> sudo chown admin:users /home/admin/.ssh/known_hosts

ここで、svc_patchコマンドをもう一度実行すると、成功するはずです。

admin@node1:~> /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch install

/home/admin/.ssh/known_hostsのホストキーが正しくないため、169.254.x.xのオブジェクトメインコンテナでコマンドを実行できませんでした。

Example:

svc_patch Version 2.9.1

Verifying patch bundle consistency DONE
Detecting nodes in current VDC DONE
Reading in patch details (1 of 2) DONE
Reading in patch details (2 of 2) DONE
Validating nodes are online FAILED

ERROR: Could not execute commands on the object-main container on 169.254.x.x
Output was '@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
SHA256:RcwOsFj7zPA5p5kSeYovF4UlZTm125nLVeCL1zCqOzc.
Please contact your system administrator.
Add correct host key in /home/admin/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in /home/admin/.ssh/known_hosts:14
You can use following command to remove the offending key:
ssh-keygen -R 169.254.x.x -f /home/admin/.ssh/known_hosts
Password authentication is disabled to avoid man-in-the-middle attacks.
Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks.
:patchtest:'

Patching is unable to continue with unreachable nodes. To proceed:
- Resolve problems accessing node(s) from this one.
- Manually pass a MACHINES file containing the list of working nodes to patch (not recommended).
- Contact your next level of support for other options or assistance.

解像度：
解決策については、ECSサポートにお問い合わせください。

xDoctorバージョン4.8-85.0リリースを使用してこのパッチを適用すると、md5sumがsvc_base.pyと一致しなかったという概要のアラートが表示される場合があります。

# /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch status
svc_patch Version 2.9.1

Verifying patch bundle consistency                    FAILED

Patch bundle onsistency check failed - md5sums for one or more files
in the patch bundle were invalid, or files were not found.

svc_patch will attempt to validate files in the patch using MD5SUMS.bundle, which
is bundled with the patch.

Output from md5sum was:
./lib/libs/svc_base.py: FAILED
md5sum: WARNING: 1 computed checksum did NOT match

解像度：
パッチを適用してmd5sumをアップデートする前に、次のコマンドを実行します。

# sudo sed -i '/svc_base.py/d' /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/MD5SUMS.bundle
# sudo sed -i '/MD5SUMS.bundle/d' /opt/emc/xdoctor/.xdr_chksum

Affected Products

Elastic Cloud Storage

Products

ECS, ECS Appliance

Article Number: 000194467

Article Type: Solution

Last Modified: 02 Dec 2025

Version: 28

Check if your device is covered by Support Services.

ECS：Apache Log4jリモートコード実行の脆弱性に対するECSソリューション

Summary: Apache Log4jのセキュリティ脆弱性

Symptoms

Cause

Resolution

この手順は誰が実行すべきですか？

手順の影響：

このアクティビティーに要する時間（概算）：

よくある質問/FAQ：

解決策のまとめ：

解決策の手順：

1.ECS xDoctorソフトウェアを最新バージョンにアップグレードします。

2.事前チェックを実行します。

3.xDoctorに含まれているsvc_patchツールを使用して、システムパッチを適用します。

4.修正が適用されていることを確認します。

トラブルシューティング:

Affected Products

Products

Article Properties

Find answers to your questions from other Dell users

Support Services

Article Properties

Find answers to your questions from other Dell users

Support Services

ECS：Apache Log4jリモート コード実行の脆弱性に対するECSソリューション

Summary: Apache Log4jのセキュリティ脆弱性

Detailed Article

Symptoms

Cause

Resolution

Affected Products

Symptoms

Cause

Resolution

この手順は誰が実行すべきですか？

手順の影響：

このアクティビティーに要する時間（概算）：

よくある質問/FAQ：

解決策のまとめ：

解決策の手順：

1.ECS xDoctorソフトウェアを最新バージョンにアップグレードします。

2.事前チェックを実行します。

3.xDoctorに含まれているsvc_patchツールを使用して、システム パッチを適用します。

4.修正が適用されていることを確認します。

トラブルシューティング:

Affected Products

Products

Article Properties

Find answers to your questions from other Dell users

Support Services

Article Properties

Find answers to your questions from other Dell users

Support Services

ECS：Apache Log4jリモートコード実行の脆弱性に対するECSソリューション

3.xDoctorに含まれているsvc_patchツールを使用して、システムパッチを適用します。