NetWorker: Cómo deshabilitar el puerto 5672 para DSA-2018-120

• Es posible que el software de análisis de seguridad continúe mostrando la vulnerabilidad, ya que el puerto que no es SSL aún está abierto para la compatibilidad con versiones anteriores (esto es NMC, Hyper-V FLR/NMM).
• Los servicios internos de NetWorker (nsrd/nsrjobd) comience a usar el puerto habilitado para SSL (5761) en las versiones fijas. Sin embargo, el puerto sigue abierto y NetWorker y NetWorker Module para Microsoft (NMM) lo utilizan para otras operaciones.
• Este problema se soluciona en esas versiones mediante el no envío de "Credenciales de usuario sin cifrar al servicio AMQP remoto" a través del puerto no SSL 5672.
• El puerto no SSL aún se puede utilizar si es necesario.
• Para aquellos que desean utilizar el puerto SSL, esta corrección proporciona el mecanismo.
• Si el puerto 5672 está deshabilitado, la operación correcta de otros servicios de NetWorker se ve afectada, como Hyper-V o NMM (todos los clientes de aplicaciones).

• El bus de RabbitMQ sigue estando disponible sin cifrar (sin TLS) amqp en el puerto 5672.
• El bus de RabbitMQ ahora también está disponible mediante cifrado (TLS) amqp en el puerto 5671.
• El puerto 5671 debe estar abierto entrante en NetWorker Server.
• El servidor de NetWorker Management Console (NMC) se conecta al puerto 5671, por lo que debe ser saliente de NMC a NetWorker.

• NetWorker ejecuta una versión fija (consulte el artículo de la base de conocimientos 000153995 DSA-2018-120: Vulnerabilidad de autenticación de texto no cifrado en la red de Dell EMC NetWorker).
• Las operaciones de FLR/NMM de Hyper-V no son necesarias.

Pasos para deshabilitar el puerto 5672:

1. Editar o crear el archivo /nsr/rabbitmq-server-<version>/etc/rabbitmq.config.
   1. Tenga las opciones SSL implementadas, ya que este es el puerto SSL que utiliza NetWorker.
   2. Las líneas que hacen referencia a tcp_listener debe ser comentado, excepto el primero a continuación:

      {tcp_listeners, []}, %%this will make {tcp_listeners, []} to not listen to any port
      %% {tcp_listeners, [{"127.0.0.1", 5672},
      %%                  {"::1",       5672}]},

2. Para mayor seguridad, se recomienda contar con los siguientes ajustes (revise la rabbitmq.config.example archivo adjunto a este artículo):

   {honor_cipher_order, true},
   {honor_ecc_order, true},
   {ciphers,  [
   "list of ciphers"
   ]},

   • Como se indica en la documentación de RabbitMQ:
     "Durante la negociación de la conexión TLS, el servidor y el cliente negocian qué conjunto de cifrado se utiliza. Es posible forzar la implementación de TLS del servidor para que dicte su preferencia (orden del conjunto de cifrado) para evitar clientes maliciosos que negocian intencionalmente conjuntos de cifrado débiles como preparación para ejecutar un ataque contra ellos. Para ello, configure honor_cipher_order y honor_ecc_order a verdadero".
3. El servicio NSR debe estar deshabilitado en NetWorker Server. Ejecute los siguientes comandos:

   nsradmin
   > p type:nsr service
   > update enabled: No

• https://www.rabbitmq.com/configure.html
• https://www.rabbitmq.com/ssl.html
• https://www.rabbitmq.com/networking.html