Сообщения об уязвимостях безопасности на портах NetWorker 5432, 5671, 9000, 9001

Сводка: В ходе сканирования Rapid7 были выявлены уязвимости безопасности на различных портах NetWorker.

Данная статья применяется к Данная статья не применяется к Эта статья не привязана к какому-либо конкретному продукту. В этой статье указаны не все версии продуктов.
Ознакомьтесь с другими ресурсами

Симптомы

Об уязвимостях сообщается на портах 5671, 9000, 9001.

Порт 5671
Сервер TLS/SSL с использованием часто используемых простых чисел

Сервер TLS поддерживает TLS версии 1.1
X.509 Общее имя субъекта сертификата не совпадает с именем объекта.
Недоверенный сервер TLS/SSL Сертификат
X.509 Недействительный сертификат


TLS/SSLПорт 9000
X.509 Общее имя субъекта сертификата не соответствует имени объекта.
Ненадежный сервер TLS/SSL Сертификат
X.509 Сервер TLS/SSL использует часто используемые простые числа.
ПАРАМЕТРЫ HTTP Метод включен Сервер
TLS/SSL поддерживает использование шифров с статическим ключом.


Порт 9001
Общее имя субъекта сертификата X.509 не соответствует имени объекта.
Недоверенный сервер TLS/SSL Сертификат
X.509 Сервер TLS/SSL не поддерживает никаких надежных алгоритмов шифрования.
Сервер TLS/SSL поддерживает использование шифров с статическим ключом.

Причина

Уязвимость, о которой сообщает сканер безопасности.

Разрешение

Порт 5432

* Общее имя субъекта сертификата X.509 не совпадает с именем объекта.
* Недоверенный сервер TLS/SSL Сертификат
X.509* Самозаверяющий сертификат

TLS/SSL Решение:

1. Перейдите на C:\Program Files\EMC NetWorker\Management\nmcdb\pgdata\ (Окна);  /nsr/nmc/nmcdb/pgdata/ (Linux)
2. «Rename» server.crt и server.key.
3. Скопируйте сервер, подписанный ИС, и закрытый ключ как "server.crt" и "server.key" соответственно в ту же папку.
ПРИМЕЧАНИЕ. В системах Linux убедитесь, что файлы принадлежат nsrnmc: nsrnmc и имеют 600 разрешений. 
chown nsrnmc:nsrnmc /nsr/nmc/nmcdb/pgdata/server.crt
chown nsrnmc:nsrnmc /nsr/nmc/nmcdb/pgdata/server.key

chmod 600 /nsr/nmc/nmcdb/pgdata/server.crt
chmod 600 /nsr/nmc/nmcdb/pgdata/server.key
4. Убедитесь в согласованности пути и имени в postgresql.conf. 
ssl_cert_file = 'server.crt'
ssl_key_file = 'server.key'
5. Restart gst Услуги:

Linux:  
systemctl restart gst
Windows: 
net stop gstd
net start gstd

 

Порт 5671

* TLS/SSL сервер, использующий часто используемые простые числа

Решение:
1. Создайте параметры DH с помощью openssl. Обновите rabbitmq.config с DH-файлом.

Linux: /opt/nsr/rabbitmq-server-3.11.16/etc/rabbitmq/rabbitmq.config 
openssl dhparam -out /opt/nsr/rabbitmq-server-3.11.16/etc/dhparam.pem 2048

Windows: C:\Program Files\EMC NetWorker\nsr\rabbitmq-server-3.7.16\etc\rabbitmq.config. 
openssl.exe dhparam -out "C:\Program Files\EMC NetWorker\nsr\rabbitmq-server-3.8.3\etc\dhparam.pem" 2048
2048 относится к размеру простого числа в битах.

2. Настройка rabbitmq.config чтобы убедиться в файле, добавив конфигурационный элемент:
Linux:  
{dhfile, "/opt/nsr/rabbitmq-server-3.11.16/etc/rabbitmq/dhparam.pem"},
Windows: 
{dhfile, "C:\Program Files\EMC NetWorker\nsr\rabbitmq-server-3.8.3\etc\dhparam.pem"},
В рамках ssl_options Сразу после «keyfile" линии.

Пример:
ищите "ssl_options" и добавьте dhfile , как показано ниже: 
     {ssl_options, [{cacertfile,        "C:\\Program Files\\EMC NetWorker\\nsr\\rabbitmq-server-3.8.3\\etc\\cacert.pem"}, 
                  {certfile,            "C:\\Program Files\\EMC NetWorker\\nsr\\rabbitmq-server-3.8.3\\etc\\cert.pem"}, 
                  {keyfile,             "C:\\Program Files\\EMC NetWorker\\nsr\\rabbitmq-server-3.8.3\\etc\\key.pem"}, 
                  {dhfile,                 "C:\Program Files\EMC NetWorker\nsr\rabbitmq-server-3.8.3\etc\dhparam.pem"},
                  {verify,               verify_none}, 
* TLS Server поддерживает TLS версии 1.1
 
Решение:
TLS версии 1.1 можно удалить из rabbitmq.config. Look для строки ниже: 
% disable TLS 1.0, remove tlsv1.1 if it is not needed 
                  {versions,   ['tlsv1.2', 'tlsv1.1']}, 
                  
* Общее имя субъекта сертификата X.509 не совпадает с именем объекта.
* Недоверенный сервер TLS/SSL Сертификат
X.509* Недействительный сертификат TLS/SSL

Решение:
 
1. Перейдите на C:\Program Files\EMC NetWorker\nsr\rabbitmq-server-<some number>\etc (Windows). В Linux путь имеет следующий /opt/nsr/rabbitmq-server-<n.nn.nn>/etc/rabbitmq
2. Переименование существующих .pem Сертификаты.
3. Скопируйте сертификаты, подписанные ИС, используя то же имя, что и у оригинала.

Где:
cacert.pem = — пакет сертификата источника сертификатов.
cert.pem = — публичный сертификат/сертификат сервера.
key.pem = — закрытый ключ.

4. Убедитесь, что путь и имена правильно отражены в rabbitmq.config.
    
     Windows:
  
{ssl_options, [{cacertfile,           "C:\\Program Files\\EMC NetWorker\\nsr\\rabbitmq-server-<some numbers>\\etc\\cacert.pem"}, 
                  {certfile,             "C:\\Program Files\\EMC NetWorker\\nsr\\rabbitmq-server-<some numbers>\\etc\\cert.pem"}, 
                  {keyfile,              "C:\\Program Files\\EMC NetWorker\\nsr\\rabbitmq-server-<some numbers>\\etc\\key.pem"}, 

   
    Linux:

{ssl_options, [{cacertfile, "/etc/rabbitmq/cacert.pem"},
                    {certfile, "/etc/rabbitmq/cert.pem"},
                    {keyfile, "/etc/rabbitmq/key.pem"},
 

5. Запустите службу NetWorker и GST.


Порт 9000

* Общее имя субъекта сертификата X.509 не совпадает с именем объекта.
* Недоверенный сервер TLS/SSL Сертификат

X.509 Решение:

1) Переименование "server.crt" и "server.key." В Windows файлы находятся в C:\Program Files\EMC NetWorker\Management\GST\apache\conf. В Linux файлы находятся в папке /opt/lgtonmc/apache/conf.

2) Скопируйте сертификат сервера, подписанный ИС, и закрытый ключ в одну папку. Переименуйте сертификат сервера, подписанный ИС, в "server.crt" и серверный ключ к "server.key."

3) Убедитесь в согласованности пути и имени в C:\Program Files\EMC NetWorker\Management\GST\apache\conf\httpd.conf и C:\Program Files\EMC NetWorker\Management\GST\apache\conf\https.conf. В Linux httpd.conf находится под /opt/lgtonmc/apache/conf.

Строки для обзора: -

Windows: 

SSLCertificatefile "C:\Program Files\EMC NetWorker\Management\GST\apache\conf\server.crt"
SSLCertificateKeyfile "C:\Program Files\EMC NetWorker\Management\GST\apache\conf\server.key"

 Linux:

SSLCertificatefile /opt/lgtonmc/apache/conf/server.crt
SSLCertificateKeyfile /opt/lgtonmc/apache/conf/server.key


4) В Linux разрешение мух должно быть 600 и принадлежать nsrnmc. 

-rw------- 1 nsrnmc nsrnmc  1679 May 17 16:26 server.key
-rw------- 1 nsrnmc nsrnmc  1216 May 17 16:26 server.crt


* Сервер TLS/SSL использует часто используемые простые числа

Решение:

1) Сгенерируйте параметры DH с помощью openssl.

 Windows: 

openssl.exe dhparam -out  "C:\Program Files\EMC NetWorker\Management\GST\apache\conf\apachedhparam.pem" 2048

 Linux:

openssl dhparam -out "/opt/lgtonmc/apache/conf/apachedhparam.pem" 2048

 

2) Добавить "SSLOpenSSLConfCmd DHParameters <location of dhparam.pem>" В httpd.conf

Windows:

SSLOpenSSLConfCmd DHParameters "C:\Program Files\EMC NetWorker\Management\GST\apache\conf\apachedhparam.pem"

 

 Linux:

<VirtualHost *:9000>
Servername localhost:9000
...
...
SSLCipherSuite HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4:!SSLv2:!SSLv3:!TLSv1.0:!TLSv1.1:!ADH:!MEDIUM:!LOW:@STRENGTH
SSLOpenSSLConfCmd DHParameters /opt/lgtonmc/apache/conf/apachedhparam.pem

</VirtualHost>

* Метод HTTP OPTIONS Enabled
Эта уязвимость не относится к NMC. mod_rewrite модуль не загружен NMC.

* Сервер TLS/SSL поддерживает использование шифров с статическим ключом.

Закомментируйте оригинал SSLCipherSuite В httpd.conf. Замените на приведенный ниже.

SSLCipherSuite EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:ECDHE-RSA-AES128-SHA:DHE-RSA-AES128-GCM-SHA256:AES256+EDH:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES256-GCM-SHA384:AES128-GCM-SHA256:AES256-SHA256:AES128-SHA256:AES256-SHA:AES128-SHA:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!3DES:!MD5:!PSK:!RC4

 

Порт 9001


* Общее имя субъекта сертификата X.509 не совпадает с именем объекта.
* Сертификат X.509

для ненадежного сервера TLS/SSL Мы поддерживаем замену сертификата, используемого портом 9001.

В Windows:

To generate cakey.pem from CA signed certificate:

Get the CA signed certificates in individual key files, or in a single file in PFX format.
If the CA signed certificates are in a single PFX file, extract the private key, and the CA signed certificate with OpenSSL tool.
NOTE:Windows may not have OpenSSL installed. You can install OpenSSL separately.
Extract the private key, and the CA signed certificate from the PFX file. Private key:
# openssl pkcs12 -in <file>.pfx -out server.key -nodes -nocerts

CA certificate:
# openssl pkcs12 -in <file>.pfx -out server.crt -nokeys

Verify the integrity of the server.key and server.crt. Private key:
# openssl pkey -in server.key -pubout -outform pem | sha256sum

CA certificate:
# openssl x509 -in server.crt -pubkey -noout -outform pem | sha256sum
NOTE:Ensure that the output shows the same checksum hash from the above two outputs. If the checksum hashes are same, perform the next step. If they are different, there is an issue.
Convert the private key and the CA certificate to PEM format. Private key:
# openssl rsa -in server.key -outform pem -out server.key.pem

CA certificate:
# openssl x509 -in server.crt -outform pem -out server.crt.pem

Combine the key and the certificate into cakey.pem file for NMC.

Windows (PowerShell): PS > get-content server.key.pem,server.crt.pem | out-file cakey.pem

Shut down the NMC server.
Windows: net stop gstd

Copy the cakey.pem to the NMC servers installation location:
Windows: [Install Drive]:\Program Files\EMC NetWorker\Management\GST\etc\cakey.pem

Start the NMC server.
Windows: net start gstd


В Linux: 

Get all the required certificates(root, intermediate, and server) from pem file format. For example: server.key, RootCA.crt, InterCA.crt, and server.crt.
Convert the private key and the certificates(root, intermediate, and server) to PEM format. Private key:
# openssl rsa -in server.key -outform pem -out server.key.pem

Certificates:
# openssl x509 -in server.crt -outform pem -out server.crt.pem

# openssl x509 -in RootCA.crt -outform pem -out RootCA.crt.pem

# openssl x509 -in InterCA.crt -outform pem -out InterCA.crt.pem

After the Chain is ready, concatenate all certificates in one file with command:

> cat server.key.pem RootCA.crt.pem InterCA.crt.pem server.crt.pem > cakey.pem

NOTE:Order of the certificates in concatenation is important. server.key should always be the first certificate, and server.pem should always be the last certificate in this file. Change the owner and group of file to nsrnmc.

Stop NetWorker services.

systemctl stop networker
systemctl stop gst

Move to directory /opt/lgtonmc/etc/, rename the existing cakey.pem, and copy the cakey.pem file which has your CA certificate chain.

Start the NetWorker services.

systemctl start networker
systemctl start gst

All the services should come up gracefully.



* Сервер TLS/SSL не поддерживает никаких надежных алгоритмов

шифрования Поддержка надежных шифров реализована в NetWorker 19.5 и более поздних версиях. Обновите затронутые серверы до NetWorker 19.5.x.

* Сервер TLS/SSL поддерживает использование шифров с статическим ключом.

На платформе Windows эта проблема пока не устранена. Это исправлено в исправлении ошибок.

 

Продукты

NetWorker
Свойства статьи
Номер статьи: 000193150
Тип статьи: Solution
Последнее изменение: 23 Apr 2026
Версия:  4
Получите ответы на свои вопросы от других пользователей Dell
Услуги технической поддержки
Проверьте, распространяются ли на ваше устройство услуги технической поддержки.