VMware vCenter log4j 缓解措施

根据 VMware KB 文章 编写的用于缓解 VMware vCenter log4j 漏洞 CVE-2021-44228 的脚本。

2021-12-13 02:09 UTC - 添加了安全令牌与身份管理服务

2021-12-13 12:46 UTC - 添加了 PSC Client for 6.5 - 见下文

VMware 已在 KB 文章中发布了一个 Python 脚本。其版本最初的一些初期问题似乎已得到解决。

快速简易方法

• SSH 登录 vCenter
• 运行 shell
• 粘贴整个 脚本内容
• 输入 cve，按 Tab 键，然后回车

这样就完成了。

功能说明

• 自动检测版本和所需步骤
• 将现有文件备份为 .bak 文件
• 应用 VMware 推荐的缓解措施
• 跳过已应用的步骤
• 实时报告状态
• 最后提供总结 - 验证比 KB 步骤更精确/细致

如果你不喜欢快速简易方法...

应用缓解措施并验证

cve-workaround

仅运行验证

cve-workaround -v

回滚 - 非常基础，将 .bak 文件复制到补丁文件上，重启服务，并打印状态信息。

cve-workaround -rollback

用于 6.5 的 PSC 客户端服务 - 感谢 reddit 上的 Power-Wagon 验证

cve-workaround -sprayandpray65

备注

检测版本并应用相关缓解措施。如果认为某个缓解措施已应用，则会跳过并报告该步骤（可安全地重复执行）。

服务无法启动/权限修复

在我自己的测试中——应用、回滚、反复应用——我在 6.7 版本上遇到了一些权限问题，导致某些 vCenter 服务无法启动（而且我仍然找不到任何记录实际错误消息的证据）。如果你遇到类似情况，这是我用来解决问题的粗暴方法。

chmod 754 /usr/lib/vmware-vmon/java-wrapper-vmon
chown root:cis /usr/lib/vmware-vmon/java-wrapper-vmon
chmod 644 /usr/lib/vmware-updatemgr/bin/jetty/start.ini
chown updatemgr:updatemgr /usr/lib/vmware-updatemgr/bin/jetty/start.ini
chmod 440 /usr/lib/vmware/common-jars/log4j-core-2.8.2.jar
chown root:cis /usr/lib/vmware/common-jars/log4j-core-2.8.2.jar
chmod 755 /usr/lib/vmware-cm/lib/log4j-core.jar
chown cm:cis /usr/lib/vmware-cm/lib/log4j-core.jar

欢迎反馈任何错误/问题。