VxRail: Informatie over Log4Shell (CVE-2021-44228/CVE-2021-45046/CVE-2021-4104) en VxRail omgevingen

De Apache Software Foundation heeft informatie gepubliceerd over een kritiek probleem met betrekking tot de uitvoering van externe code in de Apache Log4j Library, bekend als Log4Shell. Dit wordt beschreven in de GitHub Advisory Database (ook beschreven in CVE-2021-44228, CVE-2021-45046 en CVE-2021-4104). Deze bibliotheek wordt veel gebruikt in op Java gebaseerde programma's om het mogelijk te maken om regelmatig en gebeurtenissen op schijf te loggen. Er zijn verschillende componenten in de VxRail- en VMware-softwarestacks die gebruikmaken van deze bibliotheek.

Dell heeft de volgende beveiligingsartikelen over dit probleem gepubliceerd:

• DSA-2021-265: Dell EMC VxRail beveiligingsupdate voor beveiligingslek in Apache Log4j met betrekking tot uitvoering van externe code (CVE-2021-44228)
• DSN-2021-007: Reactie van Dell op Apache Log4j-beveiligingslek bij uitvoering van externe code

VMware publiceerde verschillende artikelen met betrekking tot hun producten in:

• VMware-beveiligingsadvies VMSA-2021-0028
• VMSA-2021-0028: Vragen & antwoorden
• Python-script voor het automatiseren van de tijdelijke oplossing van het beveiligingslek VMSA-2021-0028 op vCenter Server Appliance (87088)
• Oplossing voor instructies voor het aanpakken van CVE-2021-44228 in VMware Cloud Foundation (87095)

De volgende informatie beschrijft het probleem en hoe het van invloed is op VxRail-releases.


 

Impact op VxRail releases

Verschillende componenten in de VxRail softwarestack (VxRail Manager en VMware vSphere) worden getroffen.

Status van het probleem in de huidige VxRail releases:

• Dit probleem is opgelost in VxRail pakketsoftware 7.0.320
• Dit probleem is opgelost in VxRail Appliance Software 4.7.541
• Dit probleem is opgelost in VxRail Appliance Software 4.5.471

Opmerking: Oudere VxRail releases zoals VxRail Appliance Software release 4.0.xxx worden ook beïnvloed.
 

VxRail-omgevingen met VxRail geïmplementeerd of beheerd vCenter

VMware heeft een tijdelijke oplossing voor de vCenter Server Appliance (vCSA) gepubliceerd. Informatie over deze tijdelijke oplossing vindt u in het artikel VMSA-2021-0028 .

 

VxRail-omgevingen met door de klant/extern beheerd vCenter of andere VMware-onderdelen en -producten

Voor door de klant beheerde of externe vCenter raadpleegt u het artikel VMware VMSA-2021-0028 voor informatie over tijdelijke oplossingen en andere herstelstappen.
Klanten kunnen indien nodig tijdelijke oplossingen of hersteloplossingen implementeren die door VMware in deze artikelen worden aanbevolen.

Notitie: Er zijn scenario's waarin ESXi-versies moeten worden geüpgraded voordat de vCenter-versie wordt bijgewerkt naar 7.0u3c of hoger. Zie het volgende artikel voor meer informatie:

• Dell EMC VxRail: Extern vCenter upgraden naar 7.0 U3c of hoger mislukt bij pre-check omdat hosts niet eerst zijn geüpgraded

Als hulp nodig is met een niet-VxRail beheerd vCenter, neem dan contact op met VMware voor hulp. Neem voor andere VxRail componenten contact op met Dell Support voor hulp.
Neem voor VMware-producten buiten VxRail contact op met VMware voor hulp.

Opmerking: VMware heeft een script geleverd om alle wijzigingen te automatiseren die nodig zijn om de tijdelijke oplossingen in vCenter Server Appliance (vCSA) te implementeren. Voor VxRail 4.5/4.7-omgevingen voert u het script eerst uit op de Platform Service Controller (PSC) en vervolgens op het vCSA-apparaat. Beide apparaten moeten de tijdelijke oplossing implementeren. Zie VMSA-2021-0028 voor tijdelijke oplossingen met andere VMware producten hierboven:

• Python-script voor het automatiseren van de tijdelijke oplossing van het beveiligingslek VMSA-2021-0028 op vCenter Server Appliance (87088)

Impact op VMware Cloud Foundation op Dell VxRail

VMware Cloud Foundation-upgrades worden uitgevoerd in de Lifecycle Management-interface in SDDC Manager.

Status van het probleem in de huidige VMware Cloud Foundation op Dell VxRail releases:

• Dit probleem is opgelost in VMware Cloud Foundation 3.11
• Dit probleem is opgelost in VMware Cloud Foundation 4.4

Zie het volgende VMware-artikel voor meer gedetailleerde informatie over dit probleem in VCF:

• Oplossing voor instructies voor het aanpakken van CVE-2021-44228 in VMware Cloud Foundation (87095)

Impact op applicaties en services die worden uitgevoerd in virtuele machines.

Alle herstelacties die worden uitgevoerd op VxRail of bijbehorende VMware-componenten beschermen deze componenten tegen het beveiligingslek.
Het herstelt geen applicaties of services die worden uitgevoerd op virtuele machines (VM's) die mogelijk zijn blootgesteld aan het beveiligingslek met betrekking tot het uitvoeren van externe code in de Apache Log4j Library.

Dell Technologies raadt aan om bij hun applicatie-/softwareleveranciers te controleren of er services worden uitgevoerd in VM's om er zeker van te zijn dat deze niet worden beïnvloed.
Alle applicaties of services die worden beïnvloed in VM's moeten worden hersteld volgens de documentatie of herstelstappen van uw softwareleverancier.