Identificar y corregir las vulnerabilidades del CVE-2021-22956
En el panel de asesoramiento de seguridad de NetScaler ADM, en CVEactuales > Las instancias de
Aparecen las instancias de
Para obtener más información sobre el panel de asesoramiento de seguridad, consulteAsesoramiento de seguridad.
Nota
Es posible que el escaneo del sistema de asesoramiento de seguridad tarde algún tiempo en concluir y reflejar el impacto del CVE-2021-22956 en el módulo de asesoramiento de seguridad. Para ver el impacto antes, inicie un análisis bajo demanda haciendo clic enEscanear ahora.
Identifique las instancias afectadas por el CVE-2021-22956
El CVE-2021-22956 requiere un escaneo personalizado, en el que el servicio ADM se conecta con la instancia ADC administrada y envía un script a la instancia. El script se ejecuta en la instancia ADC y comprueba los parámetros del archivo de configuración de Apache (httpd.conf file) y del número máximo de conexiones de cliente (maxclient) para determinar si una instancia es vulnerable o no. La información que el script comparte con el servicio ADM es el estado de la vulnerabilidad en formato booleano (verdadero o falso). El script también devuelve al servicio ADM una lista de recuentos de max_clients para diferentes interfaces de red, por ejemplo, host local, NSIP y SNIP con acceso de administración. Puede ver un informe detallado de esta lista en el archivo CSV que puede descargar de la fichaRegistros de escaneode la página deconsejos de seguridad.
Este script se ejecuta cada vez que se ejecutan los análisis programados bajo demanda. Una vez finalizado el escaneo, el script se elimina de la instancia de ADC.
Remediar CVE-2021-22956
Para las instancias de ADC afectadas por el CVE-2021-22956, la corrección consiste en un proceso de dos pasos. En la GUI, en losCVE actuales > Las instancias de ADC se ven afectadas por los CVE, puede ver los pasos 1 y 2.
Los dos pasos incluyen:
Actualización de las instancias de ADC vulnerables a una versión y una compilación que tengan la solución.
Aplicar los comandos de configuración necesarios mediante la plantilla de configuración integrada personalizable en los trabajos de configuración.
En CVE actuales > Instancias de ADC afectadas por las CVE, verá dos flujos de trabajo independientes para este proceso de corrección de 2 pasos: Proceder a actualizar el flujo de trabajo y Proceder al flujo de trabajo de configuración.
Paso 1: Actualizar las instancias de ADC vulnerables
Para actualizar las instancias vulnerables, seleccione las instancias y haga clic enContinuar para actualizar el flujo de trabajo. El flujo de trabajo de actualización se abre con las instancias de ADC vulnerables ya ocupadas.
Para obtener más información sobre cómo usar NetScaler ADM para actualizar las instancias de ADC, consulteCrear un trabajo de actualización de ADC.
Nota
Este paso se puede realizar de una vez para todas las instancias de ADC vulnerables.
Paso 2: Aplicar los comandos de configuración
Tras actualizar las instancias afectadas, en la ventana
- Personalización de la configuración.
- Revisar las instancias afectadas que se rellenan automáticamente.
- Especificar entradas para las variables del trabajo.
- Revisar la configuración final con las entradas variables rellenadas.
- Ejecutar el trabajo.
Tenga en cuenta los siguientes puntos antes de seleccionar una instancia y hacer clic enContinuar con el flujo de trabajo de configuración:
Para una instancia de ADC afectada por varios CVE (como CVE-2020-8300, CVE-2021-22927, CVE-2021-22920 y CVE-2021-22956): al seleccionar la instancia y hacer clic enContinuar con el flujo de trabajo de configuración, la plantilla de configuración integrada no se rellena automáticamente en Seleccionar configuración. Arrastre y suelte la plantilla de trabajo de configuración correspondiente en la secciónPlantilla de asesoramiento de seguridadmanualmente en el panel de tareas de configuración del lado derecho.
帕拉瓦利亚斯instancias de ADC, se ven afectadasúnicamente por el CVE-2021-22956: puede ejecutar trabajos de configuración en todas las instancias a la vez. Por ejemplo, tiene ADC 1, ADC 2 y ADC 3, y todos ellos se ven afectados únicamente por el CVE-2021-22956. Seleccione todas estas instancias y haga clic enContinuar con el flujo de trabajo de configuración, y la plantilla de configuración integrada se rellenará automáticamente enSeleccionar configuración. Consulte el problema conocido NSADM-80913 en lasnotas de la versión.
Para varias instancias de ADC afectadas por CVE-2021-22956 y uno o más CVE (como CVE-2020-8300, CVE-2021-22927 y CVE-2021-22920), que requieren una corrección para aplicarla a cada ADC a la vez: al seleccionar estas instancias y hacer clic enContinuar con el flujo de trabajo de configuración, se produce un error aparece un mensaje que le indica que ejecute el trabajo de configuración en cada ADC a la vez.
Paso 1: Seleccione la configuración
En el flujo de trabajo de configuración, la plantilla base de configuración integrada se rellena automáticamente enSeleccionar configuración.
Paso 2: selecciona la instancia
La instancia afectada se rellena automáticamente enSeleccionar instancias. Seleccione la instancia. Si esta instancia forma parte de un par de HA, seleccioneEjecutar en nodos secundarios. Haz clic enSiguiente.
Nota
Para las instancias de ADC en modo clúster, mediante el asesoramiento de seguridad de ADM, ADM permite ejecutar el trabajo de configuración solo en el nodo del coordinador de configuración del clúster (CCO). Ejecute los comandos en nodos que no sean de CCO por separado.
rc.netscalerse sincroniza en todos洛杉矶nodo de alta disponibilidad y del clúster, lo que hace que la corrección sea persistente después de cada reinicio.
Paso 3: especificar los valores de las variables
Introduzca los valores de las variables.
Seleccione una de las siguientes opciones para especificar las variables de sus instancias:
Valores de variables comunes para todas las instancias: introduzca un valor común para la variablemax_client.
Cargue el archivo de entrada para los valores de las variables: haga clic enDescargar archivo de clavede entrada para descargar un archivo de entrada. En el archivo de entrada, introduzca los valores de la variablemax_clienty, a continuación, suba el archivo al servidor ADM. Consulte el problema conocido NSADM-80913 en las notas de laversión, notassobre un problema relacionado con esta opción.
Nota
Para las dos opciones mencionadas anteriormente, el valor
max_clientrecomendado es 30. Puede establecer el valor de acuerdo con su valor actual. Sin embargo, no debe ser cero y debe ser inferior o igual al conjunto max_client del archivo/etc/httpd.conf. Puede comprobar el conjunto de valores actuales en el archivo de configuración/etc/httpd.confdel servidor HTTP Apache buscando la cadenaMaxClients, en la instancia de ADC.
Paso 4: Vista previa de la configuración
Previsualiza los valores de las variables que se han insertado en la configuración y haga clic enSiguiente.
Paso 5: Ejecute el trabajo
Haga clic enFinalizarpara ejecutar el trabajo de configuración.
Una vez ejecutado el trabajo, aparece enInfraestructura > Configuración > Trabajos de configuración.
Tras completar los dos pasos de corrección para todos los ADC vulnerables, puede ejecutar un análisis bajo demanda para ver la postura de seguridad revisada.