вторник, 8 апреля 2014 г.

Внимание: Уязвимость безопасности OpenSSL в программном обеспечении VMware

Огромная дыра в безопасности в библиотеке OpenSSL (ссылка), информация о которой в последние часы облетела многие новостные порталы (на русском), присутствует и в ряде продуктов VMware.

Угрозе подвержены VMware ESXi 5.5 и VMware ESXi 5.5 U1, содержащие библиотеки openssl-1.0.1b и openssl-1.0.1e.

Для проверки можно воспользоваться онлайн тестом (на свой страх и риск, мало-ли): http://filippo.io/Heartbleed/

Также для проверки можете запустить следующую команду из консоли ESXi:
echo -e "quit\n" | openssl s_client -connect <HOSTNAME>:443 -tlsextdebug 2>&1| [ "` grep -c 'TLS server extension \"heartbeat\" (id=15), len=1'`" -gt 0 ] && echo 'Vulnerable'

, где HOSTNAME - IP адрес или DNS имя ESXi.

До выхода обновления, закрывающего уязвимость, временным решением является настройка встроенного брандмауэра, разрешающего подключения по HTTPS только для определенных адресов.

Также в группе риска находятся следующие продукты, использующие OpenSSL 1.0.1 в том или ином варианте:
  • VMware vCenter Server 5.5 и выше.
  • VMware vCloud Automation Center 5.2 и выше.
  • VMware Horizon Workspace 1.0 и выше.
  • VMware Horizon Mirage 4.4.0 и выше.
  • и другие продукты.
На сайте VMware доступна статья по теме, включающая полный список продуктов, подверженных уязвимости.

Комментариев нет:

Отправить комментарий