Contournement log4j pour VMware vCenter

Script pour contourner la vulnérabilité log4j de VMware vCenter CVE-2021-44228, conformément à l'article de la base de connaissances VMware.

2021-12-13 02:09 UTC - Ajout des services Secure Token et Identity Management

2021-12-13 12:46 UTC - Ajout du client PSC pour 6.5 - voir ci-dessous

VMware a publié un script Python lié dans l'article de la KB. Les problèmes de jeunesse initiaux avec leur version semblent avoir été résolus.

Rapide et simple

• SSH vers vCenter
• Exécutez shell
• Collez l'intégralité du contenu du script
• Tapez cve, appuyez sur Tab, puis Entrée

Et c'est fini.

Ce qu'il fait

• Détecte automatiquement la version et les étapes nécessaires
• Sauvegarde les fichiers existants en .bak
• Applique les contournements recommandés par VMware
• Ignore les étapes déjà appliquées
• Signale l'état en cours
• Fournit un résumé à la fin - la vérification est plus précise / granulaire que les étapes de la KB

Si vous n'aimez pas le rapide et simple..

Appliquer les contournements et vérifier

cve-workaround

Exécuter la vérification uniquement

cve-workaround -v

Rollback - très basique, copie les fichiers .bak sur les fichiers patchés, redémarre les services et affiche les messages d'état.

cve-workaround -rollback

Service client PSC pour 6.5 - merci à Power-Wagon sur reddit pour la vérification

cve-workaround -sprayandpray65

Remarques

Détecte la version et applique les contournements appropriés. Ignore et rapporte par étape de contournement, si elle pense que ce contournement a été appliqué (sûr de réexécuter).

Services qui ne démarrent pas / correction des permissions

Lors de mes propres tests - appliquer, rollback, ré-appliquer, etc. - j'ai rencontré des problèmes de permissions sur 6.7, qui empêchaient certains services vCenter de démarrer (et je ne trouve toujours aucune preuve qu'un message d'erreur ait été enregistré). Si vous rencontrez un comportement similaire, voici le marteau que j'ai utilisé pour forcer les choses.

chmod 754 /usr/lib/vmware-vmon/java-wrapper-vmon
chown root:cis /usr/lib/vmware-vmon/java-wrapper-vmon
chmod 644 /usr/lib/vmware-updatemgr/bin/jetty/start.ini
chown updatemgr:updatemgr /usr/lib/vmware-updatemgr/bin/jetty/start.ini
chmod 440 /usr/lib/vmware/common-jars/log4j-core-2.8.2.jar
chown root:cis /usr/lib/vmware/common-jars/log4j-core-2.8.2.jar
chmod 755 /usr/lib/vmware-cm/lib/log4j-core.jar
chown cm:cis /usr/lib/vmware-cm/lib/log4j-core.jar

Heureux d'entendre tout bug / problème.