VxRail: Informações sobre Log4Shell (CVE-2021-44228/CVE-2021-45046/CVE-2021-4104) e ambientes VxRail

A Apache Software Foundation publicou informações sobre um problema crítico de vulnerabilidade de execução remota de código da biblioteca Apache Log4j, conhecido como Log4Shell. Isso é detalhado no GitHub Advisory Database (também detalhado em CVE-2021-44228, CVE-2021-45046 e CVE-2021-4104). Essa biblioteca é muito usada em programas baseados em Java para permitir o registro de eventos regulares e regulares no disco. Há vários componentes nas pilhas de software VxRail e VMware que usam essa biblioteca.

A Dell publicou os seguintes artigos de segurança relacionados a esse problema:

• DSA-2021-265: Atualização de segurança do Dell EMC VxRail para vulnerabilidade de execução remota de código Apache Log4j (CVE-2021-44228)
• DSN-2021-007: Resposta da Dell quanto à vulnerabilidade de execução remota de código do Apache Log4j

A VMware publicou vários artigos relacionados a seus produtos em:

• Informe de segurança da VMware VMSA-2021-0028
• VMSA-2021-0028: Perguntas e respostas
• Script Python para automatizar as etapas de solução temporária da vulnerabilidade VMSA-2021-0028 no vCenter Server Appliance (87088)
• Instruções de solução alternativa para abordar o CVE-2021-44228 no VMware Cloud Foundation (87095)

As informações a seguir descrevem o problema e como ele afeta as versões do VxRail.


 

Impacto nas versões do VxRail

Vários componentes da pilha de software do VxRail (VxRail Manager e VMware vSphere) são afetados.

Status do problema nas versões atuais do VxRail:

• Esse problema foi resolvido no pacote de software VxRail 7.0.320
• Esse problema foi resolvido no software VxRail Appliance 4.7.541
• Esse problema foi resolvido no software VxRail Appliance 4.5.471

Nota: As versões mais antigas do VxRail, como a versão do software do VxRail Appliance 4.0.xxx, também são afetadas.
 

Ambientes VxRail com vCenter implementado ou gerenciado pelo VxRail

A VMware publicou uma solução temporária para o vCenter Server Appliance (vCSA). Informações sobre essa solução temporária podem ser encontradas no artigo VMSA-2021-0028 .

 

Ambientes VxRail com vCenter gerenciado pelo cliente/externo ou outros componentes e produtos VMware

Para vCenter externo ou gerenciado pelo cliente, consulte o artigo VMware VMSA-2021-0028 para obter informações sobre soluções temporárias e outras etapas de correção.
Os clientes podem implementar soluções temporárias ou correções recomendadas pela VMware nesses artigos, conforme necessário.

Nota: Há cenários em que as versões do ESXi devem receber upgrade antes de fazer upgrade da versão do vCenter para 7.0u3c ou posterior. Consulte o seguinte artigo para obter mais informações:

• Dell EMC VxRail: O upgrade do vCenter externo para a versão 7.0 U3c ou superior falha na pré-verificação porque os hosts não receberam upgrade primeiro

Se precisar de assistência com um vCenter não gerenciado pelo VxRail, entre em contato com a VMware para obter assistência. Para outros componentes do VxRail, entre em contato com o Suporte Dell para obter ajuda.
Para produtos VMware fora do VxRail, entre em contato com a VMware para obter assistência.

Nota: A VMware forneceu um script para automatizar todas as alterações necessárias para implementar as soluções temporárias no vCenter Server Appliance (vCSA). Para ambientes VxRail 4.5/4.7, execute o script primeiro no PSC (Platform Service Controller) e, em seguida, no equipamento vCSA. Ambos os equipamentos devem implementar a solução temporária. Para soluções temporárias com outros produtos VMware, consulte VMSA-2021-0028 acima:

• Script Python para automatizar as etapas de solução temporária da vulnerabilidade VMSA-2021-0028 no vCenter Server Appliance (87088)

Impacto sobre o VMware Cloud Foundation no Dell VxRail

Os upgrades do VMware Cloud Foundation são realizados na interface de gerenciamento do ciclo de vida no SDDC Manager.

Status do problema nas versões atuais do VMware Cloud Foundation on Dell VxRail:

• Esse problema foi resolvido no VMware Cloud Foundation 3.11
• Esse problema foi resolvido no VMware Cloud Foundation 4.4

Para obter informações mais detalhadas sobre esse problema no VCF, consulte o seguinte artigo da VMware:

• Instruções de solução alternativa para abordar o CVE-2021-44228 no VMware Cloud Foundation (87095)

Impacto sobre aplicativos e serviços em execução em máquinas virtuais.

Todas as correções realizadas no VxRail ou nos componentes associados da VMware protegem esses componentes contra a vulnerabilidade.
Ele não corrige aplicativos ou serviços em execução em máquinas virtuais (VMs) que podem ser expostas à vulnerabilidade de execução remota de código da biblioteca Apache Log4j.

A Dell Technologies recomenda verificar com seus fornecedores de aplicativos/software os serviços executados em VMs para garantir que eles não sejam afetados.
Todos os aplicativos ou serviços afetados nas VMs devem ser corrigidos de acordo com a documentação ou as etapas de correção dos fornecedores de software.