VMware Cloud Director 设备中发现严重身份验证绕过漏洞

目的

此知识库文章将解决在从早期版本的 VMware Cloud Director 升级后的 VMware Cloud Director 10.5.0 设备部署中发现的身份验证绕过漏洞。常见漏洞和暴露项目 ( https://cve.mitre.org ) 已为此问题分配了标识符 CVE-2023-34060。

VMware 发布了 VMware 安全公告VMSA-2023-0026，以帮助客户了解该问题以及哪种升级路径可以解决该问题。

本文列出了在 VMware Cloud Director 修补程序发布之前的解决方法。

影响/风险

此解决方法适用于受影响的 VMware Cloud Director 10.5.0 版本。
请勿将此解决方法应用于其他 VMware 产品。

• 实施此解决方法不会对功能产生影响。

• 不需要停机，因为不需要重新启动服务或重新引导。

解决

这是 VMware Cloud Director 10.5.0 中的一个已知问题。
此问题特定于设备部署和已升级的设备部署。

• 此问题不适用于 Linux 部署。

• 此问题不适用于全新安装的 VMware Cloud Director 10.5.0。

解决方法

如果您正在运行基于设备的服务器组，并且该服务器组已从以前版本的 Cloud Director 升级，建议您运行下面详细介绍的脚本。

笔记：

• 应用该解决方法后，任何后续将 Cell 升级或修补到非 固定版本的版本 都将恢复该解决方法。

• 同样，从未修补的版本部署 Cell 也会导致不应用解决方法。该脚本需要在这些新部署的 Cell 上运行。

•  实施此解决方法不会对功能产生 影响

虽然该脚本将在进行任何更改之前执行验证，但如果您希望手动验证您的 Cell 是否暴露于该漏洞，您可以运行以下命令：

egrep '未知|足够|use_first_pass|可选 pam_sss' /etc/pam.d/system*

如果您收到上述命令的任何输出，则需要执行该脚本。（下面的示例输出）

执行以下步骤：

1. 通过 SSH 连接到服务器组内的主单元。

2. 将随附的 WA_CVE-2023-34060.sh 脚本下载到 /opt/vmware/vcloud-director/data/transfer/目录。

3. 修改文件的权限以允许执行。

1. chown root:vcloud  /opt/vmware/vcloud-director/data/transfer/WA_CVE-2023-34060.sh

2. chmod 740  /opt/vmware/vcloud-director/data/transfer/WA_CVE-2023-34060.sh

4. 导航到单元的传输目录。

1. cd  /opt/vmware/vcloud-director/data/transfer/

5. 执行脚本。

1. 。/WA_CVE-2023-34060.sh _ 

6. 在服务器组内的所有剩余单元上重复 上述步骤 4和步骤 5 。

受影响的 Appliance Cell 的脚本输出：

如果需要更新系统帐户文件
帐户 [default=bad success=ok user_unknown=ignore] pam_sss.so
从系统帐户文件中删除帐户行
已成功从系统帐户文件中删除帐户 pam_sss.so 行
帐号足够 pam_unix.so
从系统帐户文件中的 pam_unix.so 条目中删除足够的限定
已成功从系统帐户文件中的 pam_unix.so 条目中删除足够的限定
如果需要更新系统验证文件
验证足够的 pam_sss.so use_first_pass
从系统身份验证文件中删除帐户行
已成功从系统身份验证文件中删除 use_first_pass 行
验证足够的 pam_unix.so
从 system-auth 文件中的 pam_unix.so 条目中删除足够的限定
已成功从系统身份验证文件中的 pam_unix.so 条目中删除足够的资格
如果需要更新系统会话文件
会话可选 pam_sss.so
从系统会话文件中删除可选行
已成功从系统会话文件中删除可选行

未受影响/已修补的 Appliance Cell 的脚本输出：

如果需要更新系统帐户文件
无需更改系统帐户文件即可删除帐户 pam_sss.so 引用。
无需更改系统帐户文件即可从 pam_unix.so 条目中删除足够的资格。
如果需要更新系统验证文件
无需更改 system-auth 文件即可删除 use_first_pass 引用。
无需更改 system-auth 文件即可从 pam_unix.so 条目中删除足够的资格
如果需要更新系统会话文件
不需要更新系统会话文件。