PowerProtect DP serie apparaat en IDPA: Apache Log4j CVE-2021-44228

DSA-2021-285: Dell Integrated Data Protection Appliance (PowerProtect DP serie) beveiligingsupdate voor het Apache Log4j beveiligingslek met betrekking tot uitvoering van externe code (CVE-2021-44228).

Impact Matrix

Permanente oplossing

Upgrade naar PowerProtect DP serie apparaat en IDPA versie 2.7.2

• PowerProtect DP serie apparaat en IDPA versie 2.7.2 release zijn beschikbaar op de Dell Support website.

Doel

Deze tijdelijke oplossing is het oplossen van CVE-2021-44228 Apache Log4j Remote Code Execution met behulp van de "LORD" automatiseringstool (LOg4J Remediation voor Dell) voor PowerProtect DP Series Appliance en Integrated Data Protection Appliance (IDPA).

Bekijk deze video over de uitvoering van de automatiseringstool "LORD":

Impact en risico's

Deze tool kan http en https uitschakelen op het Data Domain in versie 2.7.0 om dat systeem te beveiligen van CVE-2021-44228, waardoor de gebruikersinterface wordt uitgeschakeld. Zie hieronder voor meer informatie.

Er is geen functionele invloed op het apparaat. Maak wijzigingen ongedaan op ACM VM vóór upgrades van PowerProtect DP Series Appliance of IDPA om gevolgen voor upgrades te voorkomen.

Vereisten:

• Download de nieuwste versie van LORD tool uit dit artikel (bijgevoegde bestanden).
• Pak het gedownloade .zipbestand uit.

De tool uitvoeren:

Welkom bij CVE-2021-44228 patchingtool.

• Dit hulpprogramma helpt u bij het bijwerken van CVE-2021-44228 voor verschillende Dell producten, inclusief maar niet beperkt tot IDPA, PPDM en NetWorker.
• Speciale opmerking: De tool automatiseert herstelstappen voor alle interne componenten.
• De volgende herstel- en validatiecontroles worden ook uitgevoerd.
• Het advies van Apache met betrekking tot CVE-2021-45105 blijft evolueren, waarbij nieuwe beveiligingslekken nieuwe CVE-referentie-ID's toegewezen krijgen. Wanneer deze nieuwe CVE's worden ontdekt, verduidelijken de engineeringteams van Dell Technologies waar nodig de impact en herstelstappen.
• Wanneer deze beschikbaar zijn, wordt deze tool bijgewerkt met deze nieuwe stappen.

Stappen:

1. Kopieer de tool "lord_vX" naar de ACM naar de map "/tmp" met behulp van software voor bestandsoverdracht, zoals WinSCP, enzovoort

   Opmerking: Een teken in de bestandsnaam "X" geeft het versiebeheer van de LORD-tool aan. Bijvoorbeeld: 'lord_v7'.

2. Open SSH bij de ACM-server (Appliance Configuration Manager) en meld u aan als rootgebruiker.

   cd /tmp

3. Voer de volgende opdracht uit om uitvoerbare machtigingen te bieden:

   chmod +x /tmp/lord_vX

4. Voer de volgende opdracht uit om de LORD-tool uit te voeren:

   ./tmp/lord_vX

5. Volg de aanwijzingen op het scherm.

   acm5800:/tmp # ./tmp/lord_v9
   sh: /tmp/_MEIFMNULP/libreadline.so.6: no version information available (required by sh)
   2021-12-23 20:54:22,399 [INFO]  SESSION STARTED
   2021-12-23 20:54:22,400 [INFO]  Logging everything to : lord.log
   Session Start Time : 2021-12-23 20:54
   -------------------------------------------------
   -------------------------------------------------
               PowerProtect CVE-2021-44228 Patcher 5.0
         Developer : Pankaj Pande(p.pande@dell.com)
              Release : 21 Dec 2021
   -------------------------------------------------
   Welcome to CVE-2021-44228 Patching Tool.
   This utility will assist you in patching CVE-2021-44228 for several Dell products including but not limited to IDPA, PPDM and NetWorker.
   Special Note : The tool automates remediation steps for all internal components. Following remediation, validation checks are also run. Advice from Apache regarding CVE-2021-45105 continues to evolve, with new vulnerabilities being assigned new CVE reference id's.  As these new CVEs are discovered, Dell Technologies' Engineering teams will clarify impact and remediation steps where necessary.  When these are available, this tool will be updated to include these new steps
   -------------------------------------------------
   2021-12-23 20:54:22,403 [INFO]  Starting Build : 5.0
   2021-12-23 20:54:22,403 [INFO]  Using ACM IP as : 10.10.10.99. If you would like to use a different IP, then use the -a flag and specify a different host IP or DNS name
   Enter the ACM Password :
   Are you using a common password(for all point products) which is same as ACM ? Enter 'y' or 'n' :

   Voorbeelduitvoer uit het hoofdmenu van de sanering:

   2021-12-23 20:54:34,972 [INFO]  ///////////////////////////////////////////////////////
   2021-12-23 20:54:34,972 [INFO]  ///                  Main Menu                      ///
   2021-12-23 20:54:34,972 [INFO]  ///////////////////////////////////////////////////////
   2021-12-23 20:54:34,972 [INFO]  -------------------------------------------------
   Select how would you like to proceed :
   
   1) Apply workaround for PowerProtect DP Series Appliance/IDPA [All components]
   2) Apply workaround for vCenter
   3) Apply workaround for Data Domain
   4) Apply workaround for Avamar
   5) Apply workaround for DPSearch
   6) Apply workaround for ACM
   7) Apply workaround for DPC
   9) Exit the Program
   
   Enter your choice number :

Selecteer optie #1 om herstelstappen toe te passen op alle componenten.

• Als u Nee selecteert, wordt Data Domain-herstel voorlopig overgeslagen. Een andere optie is om de Minimum Disruptive Upgrade (MDU) toe te passen volgens KB: 194425 (U moet een Dell Support-account hebben om dit artikel te lezen)
  Opmerking: Voer geen Data Domain (Protection Storage) code-upgrade uit. Alleen Minimum Disruptive Upgrade (MDU) is toegestaan voor PowerProtect DP Series Appliance (IDPA)
• Als u de gebruikersinterface volgens de geautomatiseerde workflow wilt uitschakelen, kunt u "Ja" selecteren

  Are you ready to disable the DD UI? If you say yes then you will see another prompt to either disable the UI completely or allow certain users to have access. Enter 'y/Yes/YES' or 'n/No/NO':Yes

• U kunt er ook voor kiezen om te selecteren tot welk IP-adres of welke host u de toegang wilt beperken:

  Are you ready to disable the DD UI? If you say yes then you will see another prompt to either disable the UI completely or allow certain users to have access. Enter 'y/Yes/YES' or 'n/No/NO':y
  Would you like to disable the UI completely? Enter 'y' or 'n':n
  2021-12-23 21:15:48,365 [INFO]  Disabling GUI http and https access - User based
  Enter the list of hostnames or IP-addresses that you would like to give access to(comman-seperated)(eg: 10.118.162.70,10.118.161.130) :

• Voorbeeldresultaat:

  2021-12-23 20:58:56,722 [INFO]  ///////////////////////////////////////////////////////
  2021-12-23 20:58:56,722 [INFO]  //        Performing Data Domain Patching            //
  2021-12-23 20:58:56,722 [INFO]  ///////////////////////////////////////////////////////
  2021-12-23 20:58:56,722 [INFO]  ------------------------------------------------------
  2021-12-23 20:58:56,722 [INFO]  Working on Data Domain Host : 10.60.9.51 for patching
  2021-12-23 20:58:56,722 [INFO]  ------------------------------------------------------
  2021-12-23 20:58:57,266 [INFO]  Found DD version as : 7.6.0.20-689174
  2021-12-23 20:58:57,266 [INFO]  This version of Data Domain patching involves disabling the UI.
  Are you ready to disable the DD UI? If you say yes then you will see another prompt to either disable the UI completely or allow certain users to have access. Enter 'y/Yes/YES' or 'n/No/NO':y
  Would you like to disable the UI completely? Enter 'y' or 'n':y
  2021-12-23 21:02:04,087 [INFO]  Disabling GUI http and https access - Completely
  2021-12-23 21:02:05,919 [INFO]  HTTP Access:    disabled
  
  2021-12-23 21:02:05,920 [INFO]  GUI http access has been disabled
  2021-12-23 21:02:08,507 [INFO]  HTTPS Access:   disabled
  
  2021-12-23 21:02:08,507 [INFO]  GUI https access has been disabled
  2021-12-23 21:02:08,509 [INFO]  Data Domain patching completed

Zodra de herstelstappen zijn voltooid, biedt LORD een algemene statusbeoordeling:

2021-12-23 21:03:23,782 [INFO]  ///////////////////////////////////////////////////////
2021-12-23 21:03:23,782 [INFO]  //               OVERALL STATUS                   //
2021-12-23 21:03:23,782 [INFO]  ///////////////////////////////////////////////////////
2021-12-23 21:03:23,782 [INFO]  OVERALL STATUS
+---------------------+-------------------------------------------+
| Product             | Patching Status                           |
+---------------------+-------------------------------------------+
| Data Domain         | COMPLETED                                 |
| ACM                 | COMPLETED                                 |
| DPSearch_X.X.X.X    | COMPLETED                                 |
| DPCentral           | COMPLETED                                 |
| DPA                 | NOT_CONFIGURED_IN_IDPA                    |
| Avamar              | SKIPPED/NOT REQUIRED/VERIFICATION SUCCESS |
| vCenter             | SKIPPED/NOT REQUIRED/VERIFICATION SUCCESS |
+---------------------+-------------------------------------------+

Statusdefinitie bijwerken:

• VOLBRACHT: Deze status geeft aan dat het betreffende onderdeel kwetsbaar was en is bijgewerkt.
• NOT_CONFIGURED_IN_IDPA: Deze status geeft aan dat het betreffende onderdeel niet is geïmplementeerd/geconfigureerd.
• OVERGESLAGEN/NIET VEREIST/VERIFICATIE GESLAAGD: Deze status geeft aan dat het relevante onderdeel is overgeslagen omdat het niet kwetsbaar is voor CVE-2021-44228, OF dat de CVE-2021-44228 geen invloed heeft op de versie van dat relevante onderdeel, of dat het relevante onderdeel al is bijgewerkt.

Richtlijnen voor CVE-2021-45105

• Verificatie bij uitvoering op het System Manager-onderdeel van PowerProtect DP Series Appliance [DPC] toont aan dat het kwetsbaar is voor CVE-2021-44228, maar de getroffen Log4j-bibliotheek wordt niet vermeld of geladen in een service. Daarom is dit een vals positief en kan het veilig worden genegeerd.
• Technische teams werken eraan om te bevestigen of andere componenten in de IDPA worden beïnvloed door CVE-2021-45105.
• Zo ja, dan worden de herstelstappen vrijgegeven in overeenstemming met het beleid van Dell Technologies Security Office.
• Voor CDRA, zie KB: PowerProtect DP serie apparaat en IDPA: Apache Log4j CVE-2021-44228

Subonderdeel: Noodherstel via de cloud

Voor CDRA - On-premise virtuele machine

1. Open SSH naar CDRA VM met behulp van cdr-gebruiker

2. Maak cdra_log4jfix.sh aan in de /tmp/ directory met de volgende inhoud:

   • Voer de volgende opdracht uit om het script voor de cdra_log4jfix.sh te maken:

     vi /tmp/cdra_log4jfix.sh

   • Druk op de I-toets op het toetsenbord om de invoegmodus te openen en kopieer de inhoud zoals hieronder weergegeven.
   • Druk op ESC en vervolgens op :wq! om het bestand op te slaan.

     #! /bin/sh
     cdr_backup()
     {
       mkdir -p /tmp/cdr_backup
       cp /home/cdr/cdra/lib/cdra_main.jar /tmp/cdr_backup/cdra_main.jar.bak
       cp /home/cdr/cdra/resources/restore/restore_vm.jar /tmp/cdr_backup/restore_vm.jar.bak
     }
     update_executable()
     {
       echo "Updating CDRA executable."
       sed -i 's/=CDRS/=CDRS -Dlog4j2.formatMsgNoLookups=true/g' /home/cdr/cdra/executable
     }
     update_restore_vm()
     {
       echo "Updating restore_vm.jar."
       cd /home/cdr/cdra/resources/restore
       zip -q -d restore_vm.jar org/apache/logging/log4j/core/lookup/JndiLookup.class
       zip -q -d restore_vm.jar shadow/org/apache/logging/log4j/core/lookup/JndiLookup.class
     }
     update_cdra_main()
     {
       echo "Updating cdra_main.jar."
       LOG4J_JAR_FILE_LOCATION=BOOT-INF/lib/log4j-core-2.13.2.jar
       echo "Stopping CDR service."
       sudo service cdra stop
       cd /home/cdr/cdra/lib/
       mkdir -p BOOT-INF/lib
       unzip -p cdra_main.jar $LOG4J_JAR_FILE_LOCATION > $LOG4J_JAR_FILE_LOCATION
       zip -q -d $LOG4J_JAR_FILE_LOCATION org/apache/logging/log4j/core/lookup/JndiLookup.class
       zip -u -0 -n *.jar cdra_main.jar $LOG4J_JAR_FILE_LOCATION
       rm -rf BOOT-INF
       echo "Starting CDR service. This may take a few minutes."
       sudo service cdra start
       for i in {1..10}
       do
         sleep 30
         echo "Checking CDR service status..."
         RESP_CODE=$(curl -kfsL -o /dev/null -w '%{http_code}' -X GET https://localhost/rest/cdr-version -H "accept: application/json")
         if [[ "$RESP_CODE" == 200 ]]; then
           echo "CDR service started successfully."
           return 0
         fi
       done
       echo "Failed to run CDR service. Please contact Dell Support."
       exit 1
     }
     main()
     {
        CDR_VER=$(curl -s -X GET https://localhost/rest/cdr-version -H "accept: application/json" -k)
        echo "CDR version is : $CDR_VER"
        if [[ $CDR_VER =~ 19\.[6-9] ]]; then
           cdr_backup
           update_executable
           update_restore_vm
           update_cdra_main
         else
           echo "log4j workaround is required only for CDR versions between 19.6 and 19.9."
           exit 0
         fi
         rm -rf /tmp/cdr_backup
     }
     main

3. Voer de volgende opdrachten uit om het herstelscript uit te voeren:

   dos2unix /tmp/cdra_log4jfix.sh

   chmod +x /tmp/cdra_log4jfix.sh

   sudo /tmp/cdra_log4jfix.sh

Voor CDRS - geïmplementeerd in de cloud (AWS/AZURE/AWS GOV/AZURE GOV)
Open een serviceaanvraag bij Dell Support en raadpleeg dit artikelnummer 000194520 om de oplossing toe te passen op de CDRS (Cloud Disaster Recovery).

Subonderdeel: Avamar Server (beschermingssoftware) en Data Protection Extension

• Avamar Server (beschermingssoftware/back-upserver) is niet kwetsbaar voor CVE-2021-44228 of CVE-2021-45046. Deze kwetsbaarheden zijn specifiek voor de JNDI Lookup-klasse die alleen bestaat in het log4j-core jar-bestand. Avamar Server installeert het jog4j-core jar-bestand niet. Upgrade naar PowerProtect DP Series Appliance (IDPA) versie 2.7.1 kan worden uitgevoerd als klanten de versie van log4j nog steeds willen bijwerken naar 2.16. Deze update voorkomt mogelijk fout-positieve meldingen door hulpprogramma's voor beveiligingsscans.
• Cloud Director Data Protection Extension (indien geconfigureerd) is nog steeds kwetsbaar en de tijdelijke oplossingsstappen die worden vermeld in KB 194480 kunnen worden toegepast op componenten vóór versie 19.4.
• Voor 19.4 vCloud Director Data Protection Extension raden we aan om de hotfix 19.4.0.214_HF.5 toe te passen, zoals beschreven in het gedeelte Herstel. Informatie over de patch vindt u in KB 194480.

Als u de tijdelijke oplossing implementeert die in deze sectie wordt beschreven en vervolgens de Data Protection Extension bijwerkt naar een niet-herstelde versie, moet u de tijdelijke oplossing opnieuw implementeren.