PowerFlex 3.X: Come rimediare alla vulnerabilità della sicurezza di Apache Log4j nel gateway e nel server di presentazione

Implementare la seguente soluzione alternativa sul sistema operativo del server di presentazione PowerFlex:

Opzione 1.

1. Scaricare il file di .zip "log4j-2.17.1-presentation_server_mitigation.zip " dal sito di supporto PowerFlex: https://www.dell.com/support/home/en-us/product-support/product/scaleio/drivers

Nota: Questa operazione richiede le autorizzazioni di accesso per https://www.dell.com/support

2. Connettersi con SSH al server di presentazione e accedere con le relative credenziali Copiare il .zip utilizzando SCP o WinSCP nella cartella a cui si è connessi.

Per RHEL o CentOS 6, 7 o 8, SLES15.x e Ubuntu 18/20, utilizzare le modifiche riportate di seguito per mitigare questa vulnerabilità di sicurezza:

• Per PowerFlex 3.6 o 3.5, eseguire i seguenti passaggi:
  1. Verificare che i file si trovino nel seguente percorso: ls /opt/emc/scaleio/mgmt-server/lib/ |grep log4.
  2. Eseguire i seguenti comandi per rimuovere: 

rm /opt/emc/scaleio/mgmt-server/lib/log4j-*
unzip log4j-2.17.1-presentation_server_mitigation.zip -d /opt/emc/scaleio/mgmt-server/lib

Nota: se non è necessario decomprimere sul sistema operativo è possibile utilizzare il file> zip tar -xvf < o installare unzip.

chown mgmt-server /opt/emc/scaleio/mgmt-server/lib/log4j*
chgrp mgmt-server /opt/emc/scaleio/mgmt-server/lib/log4j*

Dopo aver completato i passaggi di configurazione:

• Se si è in esecuzione su un sistema con SELinux abilitato, eseguire il seguente comando:

restorecon -Fv /opt/emc/scaleio/mgmt-server/lib/log4j*

Per PowerFlex 3.6 con RHEL 7.x o 8.x, SLES e Ubuntu, attenersi alla seguente procedura:

1. Utilizzare il seguente comando per riavviare il servizio mgmt-server (per tutte le versioni superiori):

systemctl restart mgmt-server

• Per PowerFlex 3.6 con RHEL 6.x, seguire il passaggio riportato di seguito:
  1. Utilizzare i seguenti comandi per riavviare il servizio:

initctl stop mgmt-server
initctl start mgmt-server

• Per PowerFlex 3.5 su RHEL 7.x o 8.x, attenersi alla seguente procedura:

1. Utilizzare il seguente comando per ricaricare i file di configurazione del daemon:

systemctl daemon-reload

2. Utilizzare il seguente comando per riavviare il servizio mgmt-server:

systemctl restart mgmt-server.service

In questo modo il parametro viene letto correttamente. Se si riavvia il servizio senza ricaricare i file di configurazione del daemon, verrà utilizzato ciò che è in memoria e non si utilizzerà la modifica del parametro.

• Per PowerFlex 3.5 su RHEL 6.x, seguire il passaggio riportato di seguito:
  1. Utilizzare i seguenti comandi per riavviare il servizio:

initctl stop mgmt-server
initctl start mgmt-server

A questo punto, la registrazione è ancora abilitata e la vulnerabilità è contenuta. I file log4j possono anche essere spostati o eliminati sul server di presentazione come soluzione alternativa, ma in questo modo si interrompe la registrazione per il server di presentazione. Tutte le modifiche alla configurazione vengono ancora registrate con MDM e nei log di traccia presenti.

Opzione 2.

• Rimuovere i file Log4j dal sistema operativo attenendosi alla seguente procedura:

Nota: Questa opzione rimuove la funzionalità di registrazione del server di presentazione, ma la registrazione degli eventi MDM continua a funzionare e a registrare gli eventi del cluster.

Eseguire il seguente comando:

rm -f /opt/emc/scaleio/mgmt-server/lib/log4j*

Dopo aver completato i passaggi di configurazione:

• Per PowerFlex 3.6 con RHEL 7.x o 8.x, seguire il passaggio riportato di seguito:
  1. Utilizzare il seguente comando per riavviare il servizio mgmt-server (per tutte le versioni superiori):

systemctl restart mgmt-server

• Per PowerFlex 3.6 con RHEL 6.x, seguire il passaggio riportato di seguito:
  1. Utilizzare i seguenti comandi per riavviare il servizio:

initctl stop mgmt-server
initctl start mgmt-server

• Per PowerFlex 3.5 su RHEL 7.x o 8.x, attenersi alla seguente procedura:
  1. Utilizzare il seguente comando per ricaricare i file di configurazione del daemon:

systemctl daemon-reload

2. Utilizzare il seguente comando per riavviare il servizio mgmt-server:

systemctl daemon-reload

In questo modo viene ricaricato il nuovo file JAR. Se si riavvia il servizio senza ricaricare i file di configurazione del daemon, il servizio utilizzerà ciò che è in memoria e non si sta utilizzando la modifica.

• Per PowerFlex 3.5 su RHEL 6.x, seguire il passaggio riportato di seguito:
  1. Utilizzare i seguenti comandi per riavviare il servizio:

initctl stop mgmt-server
initctl start mgmt-server

A questo punto, la registrazione non è abilitata e la vulnerabilità è contenuta.