Skip to main content
Sign Out

Welcome to Dell

My Account
  • Place orders quickly and easily
  • View orders and track your shipping status
  • Create and access a list of your products
Sign In Create an Account Premier Sign In Partner Program Sign In
Contact Us

Your Dell.com Baskets

ECS: ECS Lösung für Sicherheitslücke in Apache Log4j durch Remoteausführung von Code

Summary: Sicherheitslücke bei Apache Log4j.

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.
Check out other resources

Symptoms

CVE-Kennung CVE-2021-44228
CVE-Kennung CVE_2021-45046

Apache-Veröffentlichung: Apache Log4j Remote Code Execution 

Cause

Sicherheitslücke bei Apache Log4j.

Resolution

Wer sollte dieses Verfahren ausführen?

Dell bittet KundInnen, dieses Verfahren für das Upgrade von xdoctor und die Installation des Patches durchzuführen. Dies ist die schnellste und sicherste Methode, die eine längere Anfälligkeit gegenüber dieser Apache-Sicherheitslücke vermeidet. Alle Schritte werden in diesem Wissensdatenbank-Artikel beschrieben. Es gibt auch eine Videoanleitung, die diesem Wissensdatenbank-Artikel beigefügt und unter folgendem Link zu finden ist.

Video: Apache-Log4j
 

Auswirkungen des Verfahrens:

Rechnen Sie mit möglichen E/A-Zeitüberschreitungen, während Services neu gestartet werden. Anwendungen, die auf das Cluster zugreifen, müssen in der Lage sein, das E/A-Timeout zu verarbeiten. Für die Durchführung dieses Verfahrens wird ein Wartungszeitfenster empfohlen.
 

Zeitaufwand für die Aktivität (ca.):

Eine Verzögerung von ca. 7 Minuten wird standardmäßig pro Node zwischen Serviceneustarts festgelegt. Die Anzahl der Nodes in einem virtuellen Rechenzentrum (Virtual Data Center, VDC), multipliziert mit 7 Minuten + 60 Minuten für die Vorbereitung, DT-Stabilisierung und erforderliche Nachprüfungen.
 
Beispiele:
Ein VDC-System mit 48 Nodes benötigt ca. 6,5 Stunden:
7,5 Minuten x 48 (Anzahl der VDC-Nodes) + 30 Minuten (Vorbereitung) = 6,5 Stunden oder 390 Minuten.

Ein VDC-System mit 8 Nodes benötigt ca. 1,5 Stunden:
7,5 Minuten x 8 (Anzahl der VDC-Nodes) + 30 Minuten (Vorbereitung) = 1,5 Stunden oder 90 Minuten.


Häufig gestellte Fragen (FAQs):

F: Ist der Patch Teil der xdoctor-Version?
A: Das Patchinstallationsskript ist Teil der xdoctor-Version 4.8-79.1 und höher. Weisungen für den Download von xdoctor und die Ausführung der Patchinstallation finden Sie in den Lösungsschritten.

F: Kann ich mehrere VDCs parallel aktualisieren?
A: Nein, führen Sie den Patch für jedes VDC einzeln durch.

F: Kann ich diesen Patch auf einem ECS anwenden, auf dem die Codeversion 3.2.x oder früher ausgeführt wird?
A: Nein, dieser Patch ist nur auf die ECS-Versionen 3.3.x bis 3.6.x anwendbar. Eröffnen Sie eine Service-Request, um ein Upgrade für frühere Versionen zu planen.

F: Wenn ich nach dem Ausführen dieses Verfahrens ein Upgrade von ECS durchführen möchte, führe ich das Verfahren nach dem Upgrade erneut aus? 
A: Nein, sofern Sie ein Upgrade auf eine Codeversion durchführen, die in DSA-2021-273 angegeben ist und die dauerhafte Lösung enthält. Ja, sofern ein Upgrade auf eine Codeversion durchgeführt wird, die nicht in derselben DSA angegeben ist.

F: Muss der Patch erneut auf einem System angewendet werden, auf dem er zuvor nach einem Node-Austausch, einem Re-Imaging oder einer Erweiterung installiert wurde?
A: Nein, wenn das VDC die in DSA-2021-273 angegebene Codeversion hat. Ja, wenn Sie eine dieser Aktionen für ein VDC durchführen, auf dem eine Codeversion ausgeführt wird, die nicht in derselben DSA angegeben ist. Wenn in diesen Szenarien ein Patch erforderlich ist, kontaktieren Sie die betreffenden TechnikerInnen bei Dell mit der Information über das erforderliche Update.

F: Welcher Nutzer sollte angemeldet sein, um alle Befehle in diesem Wissensdatenbank-Artikel auszuführen?
A: admin

F: Muss svc_patch auf allen Racks oder mit einer spezialisierten MACHINES-Datei ausgeführt werden, wenn sich mehrere Racks in einem VDC befinden?
A: Nein, das Skript erkennt automatisch, wenn mehrere Racks vorhanden sind, und führt den Patch für alle Nodes auf allen Racks in diesem VDC durch.

F: Ich habe bemerkt, dass die xdoctor-Zielversion jetzt 4.8-79.1 und nicht 4.8-79.0 ist. Warum ist das so?
A: xDoctor-Versionen werden häufig veröffentlicht, daher wird immer empfohlen, ein Upgrade auf die höchste veröffentlichte Version durchzuführen. Wenn Sie jedoch zuvor den Apache Fix mit 4.8-79.0 ausgeführt haben, ist das System vollständig geschützt gegen diese Sicherheitslücke und das Skript muss nicht erneut ausgeführt werden.


Lösungszusammenfassung:

  1. Aktualisieren Sie Ihre ECS xDoctor-Software auf Version 4.8.-79.1 oder höher.
  2. Führen Sie Vorabprüfungen aus.
  3. Wenden Sie den System-Patch mit dem Tool svc_patch an, das im Lieferumfang von xDoctor enthalten ist.
  4. Vergewissern Sie sich, dass die Korrektur angewendet wurde.
  5. Fehlerbehebung.


Schritte zur Problemlösung:

  1. Aktualisieren Sie Ihre ECS xDoctor-Software auf die neueste verfügbare Version.

  1. Überprüfen Sie die xDoctor-Version, die auf Ihrem System ausgeführt wird. Wenn die Version 4.8-79.1 oder höher ist, fahren Sie mit Schritt 2 „Führen Sie Vorabprüfungen aus.“ fort. Andernfalls fahren Sie mit den folgenden Schritten fort.
Befehl: 
# sudo xdoctor --version
 
Beispiel: 
admin@node1:~> sudo xdoctor --version 4.8-79.1
  1. Melden Sie sich bei der Support-Website an, stellen Sie eine direkte Verbindung zu diesem Download-Link her, suchen Sie mithilfe der Schlüsselwort-Suchleiste nach xDoctor und klicken Sie auf den xDoctor RPM-Link, um xDoctor RPM herunterzuladen. Wenn Sie die Versionshinweise anzeigen möchten, folgen Sie dem Link zu den Versionshinweisen und wählen Sie Handbücher und Dokumente aus der Seitenleiste aus, wo sie zum Download verfügbar sein sollten.

  2. Verwenden Sie nach dem Herunterladen des RPM ein beliebiges Remote-SCP-Programm, um die Datei in das Verzeichnis /home/admin auf dem ersten ECS-Node hochzuladen.

  3. Sobald der Upload abgeschlossen ist, stellen Sie eine SSH-Verbindung zum ersten Node des ECS-Systems über den Admin her.
  4. Führen Sie ein Upgrade von xDoctor auf allen Nodes mit der neu veröffentlichten Version durch.
Befehl:
# sudo xdoctor --upgrade --local=/home/admin/xDoctor4ECS-4.8-79.1.noarch.rpm

Beispiel: 
admin@node1:~> sudo xdoctor --upgrade --local=/home/admin/xDoctor4ECS-4.8-79.1.noarch.rpm 2021-12-20 12:06:11,358: xDoctor_4.8-78.2 - INFO : xDoctor Upgrader Instance (2:FTP_SFTP) 2021-12-20 12:06:11,358: xDoctor_4.8-78.2 - INFO : Local Upgrade (/home/admin/xDoctor4ECS-4.8-79.1.noarch.rpm) 2021-12-20 12:06:11,392: xDoctor_4.8-78.2 - INFO : Current Installed xDoctor version is 4.8-78.2 2021-12-20 12:06:11,429: xDoctor_4.8-78.2 - INFO : Requested package version is 4.8-79.1 2021-12-20 12:06:11,430: xDoctor_4.8-78.2 - INFO : Updating xDoctor RPM Package (RPM) 2021-12-20 12:06:11,482: xDoctor_4.8-78.2 - INFO : - Distribute package 2021-12-20 12:06:12,099: xDoctor_4.8-78.2 - INFO : - Install new rpm package 2021-12-20 12:06:37,829: xDoctor_4.8-78.2 - INFO : xDoctor successfully updated to version 4.8-79.1
  1. Wenn es sich bei der Umgebung um ein VDC mit mehreren Racks handelt, muss das neue xDoctor-Paket auf dem ersten Node jedes Racks installiert werden. Um diese Primär-Nodes zu identifizieren, führen Sie den folgenden Befehl aus. In diesem Fall gibt es vier Racks, daher sind vier Primär-Nodes hervorgehoben.
  1. Befehl:
    # svc_exec -m "ip address show private.4 |grep -w inet"

    Beispiel:
admin@ecsnode1~> svc_exec -m "ip address show private.4 |grep -w inet" svc_exec v1.0.2 (svc_tools v2.1.0) Started 2021-12-20 14:03:33 Output from node: r1n1 retval: 0 inet 169.254.1.1/16 brd 169.254.255.255 scope global private.4 Output from node: r2n1 retval: 0 inet 169.254.2.1/16 brd 169.254.255.255 scope global private.4 Output from node: r3n1 retval: 0 inet 169.254.3.1/16 brd 169.254.255.255 scope global private.4 Output from node: r4n1 retval: 0 inet 169.254.4.1/16 brd 169.254.255.255 scope global private.4
  1. Kopieren Sie das Paket vom ersten Node des Systems (R1N1) in die anderen Primär-Nodes wie unten beschrieben:
Beispiel: 
admin@ecsnode1~> scp xDoctor4ECS-4.8-79.1.noarch.rpm 169.254.2.1:/home/admin/ xDoctor4ECS-4.8-79.1.noarch.rpm 100% 32MB 31.9MB/s 00:00 admin@ecsnode1~> scp xDoctor4ECS-4.8-79.1.noarch.rpm 169.254.3.1:/home/admin/ xDoctor4ECS-4.8-79.1.noarch.rpm 100% 32MB 31.9MB/s 00:00 admin@ecsnode1~> scp xDoctor4ECS-4.8-79.1.noarch.rpm 169.254.4.1:/home/admin/ xDoctor4ECS-4.8-79.1.noarch.rpm 100% 32MB 31.9MB/s 00:00 admin@ecsnode1~>
  1. Führen Sie gemäß Schritt e oben denselben xDoctor-Installationsbefehl auf jedem der oben genannten Primär-Nodes aus, die zuvor identifiziert wurden. 
Befehl:
# sudo xdoctor --upgrade --local=/home/admin/xDoctor4ECS-4.8-79.1.noarch.rpm
 

  1. Führen Sie Vorabprüfungen aus

    1. Verwenden Sie den Befehl svc_dt, um zu überprüfen, ob die DTs stabil sind. DTs sind stabil, wenn die Spalte „Unready #“ 0 anzeigt. Ist dies der Fall, fahren Sie mit der nächsten Prüfung fort. Wenn nicht, warten Sie 15 Minuten und prüfen Sie erneut. Wenn sich die DTs nicht stabilisiert haben, öffnen Sie einen Service-Request beim ECS-Supportteam.
Befehl:
# svc_dt check -b
 
Beispiel: 
admin@node1:~> svc_dt check -b svc_dt v1.0.25 (svc_tools v2.0.2) Started 2021-12-16 16:44:51 Date Total DT Unknown # Unready # RIS Fail # Dump Fail # Check type Time since check Check successful 2021-12-16 16:43:44 2432 0 0 0 0 AutoCheck 1m 7s True 2021-12-16 16:42:33 2432 0 0 0 0 AutoCheck 2m 18s True 2021-12-16 16:41:23 2432 0 0 0 0 AutoCheck 3m 28s True 2021-12-16 16:40:13 2432 0 0 0 0 AutoCheck 4m 38s True 2021-12-16 16:39:02 2432 0 0 0 0 AutoCheck 5m 49s True 2021-12-16 16:37:52 2432 0 0 0 0 AutoCheck 6m 59s True 2021-12-16 16:36:42 2432 0 0 0 0 AutoCheck 8m 9s True 2021-12-16 16:35:31 2432 0 0 0 0 AutoCheck 9m 20s True 2021-12-16 16:34:21 2432 0 0 0 0 AutoCheck 10m 30s True 2021-12-16 16:33:11 2432 0 0 0 0 AutoCheck 11m 40s True
  1. Verwenden Sie den Befehl svc_patch, um zu überprüfen, ob alle Nodes online sind. Ist dies der Fall, fahren Sie mit dem nächsten Schritt fort. Falls nicht, ermitteln Sie den Grund, schalten Sie den Node wieder online und führen Sie die Prüfung erneut aus. Wenn ein Node nicht online geschaltet werden kann, eröffnen Sie eine Service-Request beim ECS-Supportteam, um dies zu untersuchen.
Befehl:
# /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch status

Beispiel: 
admin@node1:~> /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch status svc_patch Version 2.9.1 Verifying patch bundle consistency DONE Detecting nodes in current VDC DONE Reading in patch details (1 of 2) DONE Reading in patch details (2 of 2) DONE Validating nodes are online DONE Checking Installed Patches and Dependencies DONE Patches/releases currently installed: [ None detected ] Patches that need to be installed: CVE-2021-44228_log4j-fix_3.3.x-3.6.2 (PatchID: 3298) Files that need to be installed: /opt/storageos/lib/log4j-core-2.5.jar (from CVE-2021-44228_log4j-fix_3.3.x-3.6.2) The following services need to be restarted: ALL

  1. Wenden Sie den System-Patch mit dem Tool svc_patch an, das im Lieferumfang von xDoctor enthalten ist.

    1. Führen Sie den Befehl svc_patch aus, geben Sie „y“ ein und drücken Sie die Eingabetaste, wenn Sie aufgefordert werden, den Patch zu installieren. Der Befehl kann auf jedem ECS-Node ausgeführt werden. 

Befehle:
# screen -S patchinstall
# unset TMOUT
# /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch install

Beispiel:

Hinweis: Eine Aufforderung zum Fortfahren ist in der folgenden Ausgabe enthalten.

admin@node1:~>screen -S patchinstall admin@node1:~> unset TMOUT admin@node1:~> /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch install svc_patch Version 2.9.1 Verifying patch bundle consistency                    DONE Detecting nodes in current VDC                        DONE Reading in patch details (1 of 2)                     DONE Reading in patch details (2 of 2)                     DONE Validating nodes are online                           DONE Checking Installed Patches and Dependencies           DONE Patches/releases currently installed:         [ None detected ] Patches that will be installed:         CVE-2021-44228_log4j-fix_3.3.x-3.6.2                    (PatchID: 3298) Files that will be installed:         /opt/storageos/lib/log4j-core-2.5.jar                   (from CVE-2021-44228_log4j-fix_3.3.x-3.6.2) The following services will be restarted:         ALL Patch Type:                                                     Standalone Number of nodes:                                                8 Number of seconds to wait between restarting node services:     450 Check DT status between node service restarts:                  true Do you wish to continue (y/n)?y [...Truncated Output of each node Distributing files and restarting services...] Distributing files to node 1xx.xxx.xx.xx Distributing patch installer to node '1xx.xxx.xx.xx' Restarting services on 1xx.xxx.xx.xx Restarting all services Waiting 180 seconds for services to stabilize... [...Truncated Output of each node Distributing files and restarting services...] Stopping ViPR services..done Services status 3: stat georeceiver eventsvc blobsvc dataheadsvc blobsvc-perf blobsvc-fi resourcesvc resourcesvc-perf resourcesvc-fi rm cm ssm objcontrolsvc metering sr storageserver nvmeengine nvmetargetviewer dtquery dtsm vnest coordinatorsvc ecsportalsvc transformsvc Setting up SSL certificates ...done Starting ViPR services..done Waiting 300 seconds for services to stabilize...DONE Patching complete. admin@node1:~>
  1. Verlassen Sie den Sitzungsbildschirm, wenn das Patchen gemäß der obigen Ausgabe abgeschlossen ist.
Beispiel: 
admin@node1:/> exit logout [screen is terminating] admin@node1:/>
Hinweis: 
Wenn Sie die PuTTY-Sitzung versehentlich schließen, während die Ausführung noch im Gange ist, können Sie sich wieder verbinden, indem Sie sich wieder beim selben Node anmelden und den folgenden Befehl ausführen:
 

Befehl:
# screen -ls 
admin@node 1:~> screen -ls There is a screen on: 114475.pts-0.ecs-n3 (Detached) 1 Socket in /var/run/uscreens/S-admin.
Verbinden Sie sich wieder mit der vorherigen Ausgabe der getrennten Sitzung. 
admin@node1:~> screen -r 114475.pts-0.ecs-n3

  1. Vergewissern Sie sich, dass die Korrektur angewendet wurde.

    1. Die folgende Ausgabe stammt von einem System, auf dem die Korrektur angewendet wurde.

Befehl:

# /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch status

Beispiel: 
admin@node1:/> /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch status svc_patch Version 2.9.1 Verifying patch bundle consistency DONE Detecting nodes in current VDC DONE Reading in patch details (1 of 2) DONE Reading in patch details (2 of 2) DONE Validating nodes are online DONE Checking Installed Patches and Dependencies DONE Patches/releases currently installed: CVE-2021-44228_log4j-fix_3.3.x-3.6.2 (PatchID: 3298) Fixes for Log4j vulnerabilities CVE-2021-44228 and CVE-2021-45046 Patches that need to be installed: No files need to be installed. The following services need to be restarted: No services need to be restarted.
  1. Die folgende Ausgabe stammt von einem System, auf dem die Korrektur nicht angewendet wurde.
Beispiel:  
admin@node1:/> /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch status svc_patch Version 2.9.1 Verifying patch bundle consistency DONE Detecting nodes in current VDC DONE Reading in patch details (1 of 2) DONE Reading in patch details (2 of 2) DONE Validating nodes are online DONE Checking Installed Patches and Dependencies DONE Patches/releases currently installed: [ None detected ] Patches that need to be installed: CVE-2021-44228_log4j-fix_3.3.x-3.6.2 (PatchID: 3298) Files that need to be installed: /opt/storageos/lib/log4j-core-2.5.jar (from CVE-2021-44228_log4j-fix_3.3.x-3.6.2) The following services need to be restarted: ALL


 

Fehlerbehebung:

  1. DT-Stabilisierung dauert zu lange
  1. Wenn die DT-Stabilisierung mehr Zeit als die Standarddauer von 7,5 Minuten in Anspruch nimmt, fordert die Anwendung svc_patch Sie dazu auf, den Patchvorgang entweder fortzusetzen oder abzubrechen.
Beispiel: 
admin@node1:~> /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch install [...Truncated Output of each node Distributing files and restarting services...] Restarting services on 1xx.xx.xx.xx Restarting all services Waiting 180 seconds for services to stabilize...DONE Waiting for DTs to come online ERROR: DT Check failed. DTs did not come ready or could not be checked after several passes. Do you wish to continue anyway (y/n)?
  1. Öffnen Sie eine PuTTY-Sitzung auf einem anderen Node und führen Sie den Befehl svc_dt aus, um die DTs in der Spalte Unready # zu überprüfen. Wenn keine „0“-Werte vorhanden sind, warten Sie 15 Minuten und führen Sie die Prüfung erneut aus. Kehren Sie mit svc_patch zur Sitzung zurück, wenn keine DTs im Status „unready“ vorhanden sind. Antworten Sie mit „y“ und fahren Sie fort. Wenn svc_dt weiterhin Werte für „Unready #“ DTs auflistet, eröffnen Sie eine Service-Request beim ECS-Supportteam.
Befehl:
# svc_dt check -b
Beispiel:  
admin@node1:~> svc_dt check -b svc_dt v1.0.25 (svc_tools v2.0.2)                 Started 2021-12-15 17:18:52 Date                     Total DT       Unknown #      Unready #      RIS Fail #     Dump Fail #    Check type     Time since check   Check successful 2021-12-15 17:17:54      1920           0              0              0              0              AutoCheck      0m 58s             True 2021-12-15 17:16:44      1920           0              0              0              0              AutoCheck      2m 8s              True 2021-12-15 17:16:10      1920           0              0              0              0              Manual Check   2m 42s             True 2021-12-15 17:15:34      1920           0              0              0              0              AutoCheck      3m 18s             True 2021-12-15 17:14:24      1920           0              0              0              0              AutoCheck      4m 28s             True 2021-12-15 17:13:13      1920           0              0              0              0              AutoCheck      5m 39s             True 2021-12-15 17:12:03      1920           0              0              0              0              AutoCheck      6m 49s             True 2021-12-15 17:10:53      1920           0              0              0              0              AutoCheck      7m 59s             True 2021-12-15 17:09:43      1920           0              0              0              0              AutoCheck      9m 9s              True 2021-12-15 17:08:32      1920           0              0              0              0              AutoCheck      10m 20s            True
 
  1. Es wurden nicht alle Services auf allen Nodes neu gestartet, da sie nicht auf dem Bildschirm ausgeführt und die PuTTY-Sitzung vorzeitig beendet wurde.
Beispiel unten:  Services wurden nach der Neuanmeldung auf 4 von 6 Nodes neu gestartet. Siehe die unten hervorgehobenen Nodes 5 und 6. 
admin@node1:~> /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch status svc_patch Version 2.9.1 Verifying patch bundle consistency DONE Detecting nodes in current VDC DONE Reading in patch details (1 of 2) DONE Reading in patch details (2 of 2) DONE Validating nodes are online DONE Checking Installed Patches and Dependencies DONE All nodes currently do not have the same patches installed. Patches/releases currently installed: 169.254.1.1: CVE-2021-44228_45046_log4j-fix 169.254.1.2: CVE-2021-44228_45046_log4j-fix 169.254.1.3: CVE-2021-44228_45046_log4j-fix 169.254.1.4: CVE-2021-44228_45046_log4j-fix 169.254.1.5: CVE-2021-44228_45046_log4j-fix 169.254.1.6: CVE-2021-44228_45046_log4j-fix Patches that need to be installed: 169.254.1.1:  169.254.1.2:  169.254.1.3:  169.254.1.4:  169.254.1.5:  169.254.1.6:  Files that need to be installed: 169.254.1.1:  169.254.1.2:  169.254.1.3:  169.254.1.4:  169.254.1.5:  169.254.1.6:  Services that need to be restarted: 169.254.1.1:  169.254.1.2:  169.254.1.3:  169.254.1.4:  169.254.1.5: ALL 169.254.1.6: ALL admin@ecsnode1:~>
Lösung: Führen Sie das Verfahren erneut aus. Die verbleibenden Nodes, die ursprünglich nicht ausgeführt wurden, starten ihre Services neu. Die ursprünglichen Nodes, auf denen die Services neu gestartet wurden, bleiben unangetastet. 
admin@node1:~> /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch install svc_patch Version 2.9.1 Verifying patch bundle consistency DONE Detecting nodes in current VDC DONE Reading in patch details (1 of 2) DONE Reading in patch details (2 of 2) DONE Validating nodes are online DONE Checking Installed Patches and Dependencies DONE All nodes currently do not have the same patches installed. Patches/releases currently installed: 169.254.1.1: CVE-2021-44228_45046_log4j-fix 169.254.1.2: CVE-2021-44228_45046_log4j-fix 169.254.1.3: CVE-2021-44228_45046_log4j-fix 169.254.1.4: CVE-2021-44228_45046_log4j-fix 169.254.1.5: CVE-2021-44228_45046_log4j-fix 169.254.1.6: CVE-2021-44228_45046_log4j-fix Patches that will be installed: 169.254.1.1:  169.254.1.2:  169.254.1.3:  169.254.1.4:  169.254.1.5:  169.254.1.6:  Files that will be installed: 169.254.1.1:  169.254.1.2:  169.254.1.3:  169.254.1.4:  169.254.1.5:  169.254.1.6:  Services that will be restarted: 169.254.1.1:  169.254.1.2:  169.254.1.3:  169.254.1.4:  169.254.1.5: ALL 169.254.1.6: ALL Patch Type: Standalone Number of nodes: 8 Number of seconds to wait between restarting node services: 450 Check DT status between node service restarts: true Do you wish to continue (y/n)?y No files to install on 169.254.1.1 Distributing patch installer to node '169.254.1.1' No files to install on 169.254.1.2 Distributing patch installer to node '169.254.1.2' No files to install on 169.254.1.3 Distributing patch installer to node '169.254.1.3' No files to install on 169.254.1.4 Distributing patch installer to node '169.254.1.4' No files to install on 169.254.1.5 Distributing patch installer to node '169.254.1.5' No files to install on 169.254.1.6 Distributing patch installer to node '169.254.1.6' No services to restart on 169.254.1.1 No services to restart on 169.254.1.2 No services to restart on 169.254.1.3 No services to restart on 169.254.1.4 Restarting services on 169.254.1.5 Restarting all services Waiting 450 seconds for services to stabilize...DONE Waiting for DTs to come online Restarting services on 169.254.1.6 Restarting all services Waiting 450 seconds for services to stabilize...DONE Waiting for DTs to come online Patching complete. admin@ecsnode1:~>
  1. Der Host konnte während der Anwendung des Patches nicht zur Liste bekannter Hosts hinzugefügt werden.
Beispiel:  
svc_patch Version 2.9.1 Verifying patch bundle consistency DONE Detecting nodes in current VDC DONE Reading in patch details (1 of 2) DONE Reading in patch details (2 of 2) DONE Validating nodes are online FAILED ERROR: Could not execute commands on the object-main container on 169.254.x.x Output was 'Failed to add the host to the list of known hosts (/home/admin/.ssh/known_hosts). :patchtest:' Patching is unable to continue with unreachable nodes. To proceed: - Resolve problems accessing node(s) from this one. - Manually pass a MACHINES file containing the list of working nodes to patch (not recommended). - Contact your next level of support for other options or assistance.
 

Lösung:
Der Grund könnte sein, dass der Nutzer der Datei /home/admin/.ssh/known_hosts root war, standardmäßig aber admin sein sollte. 

Beispiel:  
admin@node1:~> ls -l /home/admin/.ssh/known_hosts -rw------- 1 root root 1802 Jul 23 2019 /home/admin/.ssh/known_hosts admin@ecs:~>
 
Um das Problem aus einer anderen PuTTY-Sitzung zu beheben, melden Sie sich bei dem oder den gemeldeten Nodes an und ändern Sie auf allen gemeldeten Nodes, auf denen der Nutzer root vorhanden ist, diesen Nutzer mit dem folgenden Befehl in admin:
 

Befehl:
#  sudo chown admin:users /home/admin/.ssh/known_hosts
 
Beispiel: 
admin@node1:~> sudo chown admin:users /home/admin/.ssh/known_hosts
 
Führen Sie jetzt den Befehl svc_patch erneut aus und der Test sollte bestanden werden. 
admin@node1:~> /opt/emc/xdoctor/patches/CVE-2021-44228_45046_log4j-fix/svc_patch install
  1. Befehle auf dem Objekt-Hauptcontainer auf 169.254.x.x konnten aufgrund eines falschen Hostschlüssels in /home/admin/.ssh/known_hosts nicht ausgeführt werden.
Beispiel: 
svc_patch Version 2.9.1 Verifying patch bundle consistency DONE Detecting nodes in current VDC DONE Reading in patch details (1 of 2) DONE Reading in patch details (2 of 2) DONE Validating nodes are online FAILED ERROR: Could not execute commands on the object-main container on 169.254.x.x Output was '@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ @ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @ @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY! Someone could be eavesdropping on you right now (man-in-the-middle attack)! It is also possible that a host key has just been changed. The fingerprint for the ECDSA key sent by the remote host is SHA256:RcwOsFj7zPA5p5kSeYovF4UlZTm125nLVeCL1zCqOzc. Please contact your system administrator. Add correct host key in /home/admin/.ssh/known_hosts to get rid of this message. Offending ECDSA key in /home/admin/.ssh/known_hosts:14 You can use following command to remove the offending key: ssh-keygen -R 169.254.x.x -f /home/admin/.ssh/known_hosts Password authentication is disabled to avoid man-in-the-middle attacks. Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks. :patchtest:' Patching is unable to continue with unreachable nodes. To proceed: - Resolve problems accessing node(s) from this one. - Manually pass a MACHINES file containing the list of working nodes to patch (not recommended). - Contact your next level of support for other options or assistance.
 
Lösung:
 
Wenden Sie sich an den ECS-Support, um eine Lösung zu erhalten.

Affected Products

Elastic Cloud Storage

Products

ECS, ECS Appliance
Article Properties
Article Number: 000194467
Article Type: Solution
Last Modified: 13 Sept 2022
Version:  26
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.