因Apache Log4j 2的漏洞让VMware的客户们度过了非常忙碌的一周,全球近一半企业受到影响,据知名网络安全解决方案提供商 Check Point 旗下的威胁情报部门提供的报道称,Apache Log4j 2 漏洞或将长存。这也就意味着VMware的客户们还要继续应对黑客利用Apache Log4j 2 漏洞的恶意攻击。
然而一波未平,一波又起。据VMware发布的漏洞安全报告中显示,VMware在17日虽然修复了自10日以来涉及51个产品的漏洞,但是依旧不能保证能彻底解决因Apache Log4j 2 带来的影响。且在16日,VMware又通报了一起与Log4j形似的安全漏洞,都是以伪造请求为手段,Apache Log4j 2 可进行恶意攻击,而VMware的漏洞则是获取敏感信息。并且该漏洞危险等级为9.1(满分10分),与Log4j 2同属高危级别。
VMware于16号发布的VMSA-2021-0029安全报告涉及CVE-2021-22054,该漏洞描述了VMware的Workspace ONE统一端点(UEM)产品中的一个服务器端伪造请求,该漏洞在通用漏洞评分系统中被评为9.1分,而该评级的满分为10分,这也就意味着该漏洞危害极大,如果开发者不引起重视,就相当于在代码中埋了一枚随时会爆炸的炸弹。
该漏洞可以让拥有UEM网络访问权的恶意使用者,在没有认证的情况下发送请求,并利用该漏洞获取他人敏感信息。由于UEM系统管理着数以万计的端点,那么恶意行为者就可以通过该漏洞获取数量庞大的敏感信息,且VMware的UEM系统可以处理并运行Windows、macOS、ChromeOS、iOS、Android以及loT设备。所以如不及时修复将产生很大的影响。
图片来源VMware
VMware在报告中提供了两种解决方法,一个是补丁,另一个就是配置web.config文件,这个文件只需要7行简单的说明。当然在VMSA-2021-0029中提到的补丁更新发布之前,更改产品的应用文件仅仅是临时解决方法。
关于补丁是有使用版本的,如果你使用的版本并不能适用该补丁,那就需要更新版本了。想知道自己现在VMware的UEM系统是否适用,请参阅WS1 UEM控制台发布KB,以此来获得所有受支持的版本及其对SaaS和本地客户的可用性列表。
你需要按照下面的xpath找到需要应用更改的文件。将更改后的重写规则添加到规则键中(xpath: /configuration/system.webServer/rewrite/rules)
- <rule name="Blob_Handler_Block" enabled="true" stopProcessing="true">
- <match url="^(Catalog|AirWatch)\/BlobHandler\.ashx" />
- <conditions>
- <add input="{QUERY_STRING}" pattern="(&url|^url)=" />
- </conditions>
- <action type="CustomResponse" statusCode="404" statusReason="Security" statusDescription="Resource not found" />
- </rule>
注意:你要将每个在环境中安装有UEM Console应用程序的Windows服务器,都重复一遍此步骤。在完成代码更改并保存后,重新启动系统。在将你的所有服务器都打上了解决方法的补丁后,接下来就要一下验证解决方法是否成功。
如果你的配置文件中没有system.webServer部分,下面是完整的改写例子。
- <system.webServer>
- <rewrite>
- <rules>
- <rule name="Blob_Handler_Block" enabled="true" stopProcessing="true">
- <match url="^(Catalog|AirWatch)\/BlobHandler\.ashx" />
- <conditions>
- <add input="{QUERY_STRING}" pattern="(&url|^url)=" />
- </conditions>
- <action type="CustomResponse" statusCode="404" statusReason="Security" statusDescription="Resource not found" />
- </rule>
- </rules>
- </rewrite>
- </system.webServer>
解决方案阻止了对BlobHandler的任何访问。任何带有阻塞模式的请求都将导致网页404 Not Found响应。测试该解决方案,你需要打开浏览器并导航到以下网址:
- https://<UEM Console URL>/airwatch/blobhandler.ashx?url=test
- https://<UEM Console URL>/catalog/blobhandler.ashx?url=test
- https://<UEM Console URL>/airwatch/blobhandler.ashx?param1=test&url=test
- https://<UEM Console URL>/catalog/blobhandler.ashx?param1=test&url=test
注意:如果将服务器配置为在404响应时自动重定向,你可能会看到网页重定向到控制台登录页面。
在控制台屏幕上搜索公共应用程序时,应用程序图标将不会显示。系统重置将导致已登录的服务器实例管理员被注销。当然管理员能够在不久之后重新登录。因此对被管理的设备没有影响
参考链接:VMSA-2021-0029