Poodle Sicherheitslücke schließen für GServer03, ZServer, KServer, Filr

Transkript

1 Beratung und Support Technische Plattform Support-Netz-Portal paedml stabil und zuverlässig vernetzen Anleitung Poodle Sicherheitslücke schließen für GServer03, ZServer, KServer, Filr Achtung: Diese Aktualisierung ist nur für die Versionen 334 und 334R2 geeignet! Stand paedml Novell Version: 3.3.4/R2

2 -Impressum Herausgeber Landesmedienzentrum Baden-Württemberg (LMZ) Support-Netz Rotenbergstraße Stuttgart Autoren der Zentralen Expertengruppe Netze (ZEN), Support-Netz, LMZ Hubert Bechthold Stefan Falk Ulrich Frei Carl Heinz Gutjahr Friedrich Heckmann Uwe Labs Alfred Wackler Endredaktion Online-Redaktion Bildnachweis Titelbilder: Thinkstock Weitere Informationen Änderungen und Irrtümer vorbehalten. Veröffentlicht: 2015 Landesmedienzentrum Baden-Württemberg

3 Inhaltsverzeichnis 1. Vorwort Vorbereitung GServer ZServer KServer (Vibe) Filr Vorbereitung Filr Desktop Filr Server Abschluss Schluss Änderungshistorie... 14

4 1. Vorwort Das schon ältere, aber inzwischen unsichere Protokoll SSL 3.0 dient der Verschlüsselung und Authentifizierung von Internetverbindungen. Angreifer können Verbindungen mit dem neueren und sicheren Protokoll TLS ablehnen, um Verbindungen mit SSL 3.0 zu erzwingen (englisch: Protocol Downgrade Attack bzw. SSL 3.0 fallback), um dann mit dem Poodle-Verfahren (Padding Oracle On Downgraded Legacy Encryption) eine Man in the Middle -Attacke auszuführen. Da dieses Problem jeden Server betrifft, der dieses Protokoll verwendet, sind praktisch alle Server unabhängig vom Hersteller- betroffen. Abhilfe schafft ein Abschalten von SSL 3.0 und das Verhindern eines TLS_FALLBACK. Hier finden Sie weitere Informationen zu Poodle. Auch alle unsere Novell-Server (SLES und OES) sind davon betroffen. Je nach Server-Typ (mit den darauf laufenden Diensten) empfehlen wir unterschiedliche Vorgehensweise zur Behebung der Sicherheitslücke. Die zurzeit in Entwicklung befindlichen Server der Nachfolgeversion paedml Novell 4.0 enthalten diese Sicherheitslücke nicht mehr. Wichtiger Hinweis: Dieses Update darf nur auf paedml Novell 334 und 334R2 durchgeführt werden, es droht sonst nach dem Einspielen des Updates ein Ausfall zentraler Dienste! Die künftige Version 4 der paedml Novell weist die hier thematisierten Sicherheitslücken nicht auf! 2. Vorbereitung Entpacken Sie die vom Support-Netz heruntergeladene Datei poodle.zip auf einer Arbeitsstation in einem leeren Verzeichnis. Dort entsteht dann folgende Verzeichnisstruktur: 3. GServer03 Verbinden Sie sich als root mittels WinSCP mit dem GServer03 und erzeugen Sie im Verzeichnis /root ein Unterverzeichnis namens poodle. Kopieren Sie dorthinein den Inhalt des Unterverzeichnisses poodle\oes2sp3 der im Kap.2 Vorbereitung auf der Arbeitsstation ausgepackten Datei. Loggen Sie sich nun als root auf dem GServer03 ein (z.b. per PuTTY oder an der Konsole), wechseln Sie in das Verzeichnis /root/poodle, lassen Sie sich zur Kontrolle den Inhalt dieses Verzeichnis anzeigen und starten Sie die Installation der rpm-pakete:

5 cd /root/poodle ll rpm -Uvh *.rpm Also etwa so: gserver03: v~ # cd /root/poodle gserver03:~/poodle # ll total rw-r--r-- 1 root root Dec 20 19:18 novell-imanager noarch.rpm -rw-r--r-- 1 root root Dec 20 19:17 novell-iprint-server i586.rpm -rw-r--r-- 1 root root Dec 20 19:17 novell-ncpenc i586.rpm -rw-r--r-- 1 root root Dec 20 19:17 novell-nrm i586.rpm -rw-r--r-- 1 root root Dec 20 19:18 novell-plugin-base noarch.rpm -rw-r--r-- 1 root root Dec 20 19:18 novell-sms i586.rpm -rw-r--r-- 1 root root Dec 20 19:18 novell-sms-interface-libs i586.rpm -rw-r--r-- 1 root root Dec 20 19:18 novell-welcome-imanager noarch.rpm gserver03:~/poodle # rpm -Uvh *.rpm Preparing... ########################################### [100%] 1:novell-sms-interface-li########################################### [ 13%] 2:novell-ncpenc ########################################### [ 25%] 3:novell-iprint-server warning: /etc/opt/novell/iprint/httpd/conf/iprint_g.conf created as /etc/opt/novell/iprint/httpd/conf/iprint_g.conf.rpmnew ########################################### [ 38%] Checking for service OpenWBEM CIMOM Daemon running Shutting down OpenWBEM CIMOM Daemon done Starting the OpenWBEM CIMOM Daemon done 4:novell-sms ########################################### [ 50%] 5:novell-welcome-imanager########################################### [ 63%] 6:novell-nrm ########################################### [ 75%] cipher parameter already present httponly parameter already present InventoryResolveNonLumOwnerName already present Novell Small Http Interface Daemon is already running. 7:novell-plugin-base ########################################### [ 88%] *************************configiman.properties file exists************ **********Moving old configiman file to /var/opt/novell/imanager/configiman.old 8:novell-imanager warning: /var/opt/novell/imanager/nps/web-inf/config.xml saved as /var/opt/novell/imanager/nps/web-inf/config.xml.rpmsave ########################################### [100%] Successfully moved the saved configiman.properties file to /var/opt/novell/imanager/nps/web-inf /var/tmp/rpm-tmp.76065: line 55: [: /usr/lib/jvm/java-1_5_0-ibm-1.5.0/jre/lib/ext: binary operator expected Shutting down Novell Small Http Interface Daemon... Terminated Starting the Novell Small Http Interface Daemon. insserv: script apache2: service httpd2 already provided! Die Fehlermeldung bzgl. line 55 binary operator expected können Sie vernachlässigen. Editieren Sie nun mit einem Editor die Datei /etc/apache2/vhosts.d/vhost-ssl.conf (z.b. mcedit /etc/apache2/vhosts.d/vhost-ssl.conf). Je nachdem, ob Sie bereits diese Datei für die Zertifikatserweiterung nach dem Dokument Zertifikats- Anleitung.pdf vorgenommen haben oder nicht, müssen Sie im ersten Fall eine Zeile ergänzen, im zweiten Fall eine Zeile ändern. 1. Fall: Suchen Sie die Zeile SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL und fügen Sie als nächste Zeile ein:

6 SSLProtocol all -SSLv2 -SSLv3 2. Fall: Suchen Sie mehrmals (!) die Zeile SSLProtocol all -SSLv2 und ändern diese Zeile in SSLProtocol all -SSLv2 -SSLv3 Achtung: Diese Änderung ist an mehreren Stellen nötig! Starten Sie Apache mit rcapache2 restart neu und testen Sie, ob SSL3 nun nicht mehr funktioniert: openssl s_client -connect localhost:443 -ssl3 Die Ausgabe sollte etwa so aussehen: CONNECTED( ) 28945:error: :SSL routines:ssl3_read_bytes:sslv3 alert handshake failure:s3_pkt.c:1086:ssl alert number :error:1409E0E5:SSL routines:ssl3_write_bytes:ssl handshake failure:s3_pkt.c:530: Damit alle Dienste zur Anwendung kommen, starten Sie abschließend den GServer03 neu. 4. ZServer Die folgenden Updates unterscheiden sich je nach ZCM-Version! Prüfen Sie also zunächst über das ZCC / Konfiguration im Abschnitt Serverhierarchie (rechts bei ZENworks-Version), welche Version von ZenWorks-11 Sie benutzen: ZCM ZCM (enthalten in Update auf die paedml Novell 334R2) ZCM 11.3.x (wird innerhalb der paedml-novell in 2015 veröffentlicht; enthält bereits alle nötigen Änderungen) Loggen Sie sich nun als root auf dem ZServer03 ein (z.b. per PuTTY oder an der Konsole), stoppen Sie den Preboot-Service, wechseln Sie dann in das Verzeichnis /opt/novell/zenworks/preboot/lib und führen Sie dort Kopierarbeiten aus. Starten Sie anschließend wieder den Preboot-Service. novell-zenworks-configure -c Start Geben Sie dort die Nummer für Stop ein, drücken Sie die Enter-Taste (Stop wird mit einem Sternchen markiert) und drücken Sie erneut die Enter-Taste. Im ersten Schritt werden XML-Dateien geändert.

7 Vorsicht: Die tatsächlichen Änderungen unterscheiden sich nur minimal. Für ZCM 11.3.X: Zwei Dateien sind zu sichern und zu ändern. Wechseln Sie nach /opt/novell/zenworks/share/tomcat/conf, sichern Sie dort die Datei server.xml und editieren Sie anschließend: cd /opt/novell/zenworks/share/tomcat/conf cp a server.xml server.xml.orig Öffnen Sie die Datei server.xml mit einem Editor (z.b. mcedit), suchen Sie den Block. <Connector SSLEnabled="true" acceptcount="100" ciphers="ssl_dhe_rsa_with_3des_ede_cbc_sha,ssl_rsa_with_3des_ede_cbc_sha,ssl_rsa_with_rc4 _128_MD5,SSL_RSA_WITH_RC4_128_SHA,TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA,TLS_DHE_RSA_WITH_AES_ 128_CBC_SHA,TLS_RSA_WITH_3DES_EDE_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_RC4_1 28_MD5,TLS_RSA_WITH_RC4_128_SHA" clientauth="false" disableuploadtimeout="true" enablelookups="false" keyalias="tomcat" keystorefile="/etc/opt/novell/zenworks/security/server.keystore" keystorepass="d217be783b f33ece83f5b94a1" maxhttpheadersize="8192" maxpostsize="0" maxsparethreads="75" maxthreads="200" minsparethreads="25" port="443" protocol="http/1.1" scheme="https" secure="true" sslprotocol="tls"/> Ersetzen Sie den letzten Eintrag sslprotocol="tls" durch sslenabledprotocols="tlsv1,tlsv1.1,tlsv1.2,sslv2hello", also: <Connector SSLEnabled="true" acceptcount="100" ciphers="ssl_dhe_rsa_with_3des_ede_cbc_sha,ssl_rsa_with_3des_ede_cbc_sha,ssl_rsa_with_rc4 _128_MD5,SSL_RSA_WITH_RC4_128_SHA,TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA,TLS_DHE_RSA_WITH_AES_ 128_CBC_SHA,TLS_RSA_WITH_3DES_EDE_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_RC4_1 28_MD5,TLS_RSA_WITH_RC4_128_SHA" clientauth="false" disableuploadtimeout="true" enablelookups="false" keyalias="tomcat" keystorefile="/etc/opt/novell/zenworks/security/server.keystore" keystorepass="d217be783b f33ece83f5b94a1" maxhttpheadersize="8192" maxpostsize="0" maxsparethreads="75" maxthreads="200" minsparethreads="25" port="443" protocol="http/1.1" scheme="https" secure="true" sslenabledprotocols="tlsv1,tlsv1.1,tlsv1.2,sslv2hello"/> Wechseln Sie jetzt nach /srv/www/casaats/conf, sichern Sie dort ebenfalls die Datei server-sun.xml und editieren Sie anschließend: cd /srv/www/casaats/conf cp -a server-sun.xml server-sun.xml.orig Öffnen Sie die Datei server-sun.xml mit einem Editor (z.b. mcedit), suchen Sie wieder den Block und führen Sie die gleiche Änderung wie oben durch. Starten Sie jetzt ZenWorks neu mit dem Befehl: novell-zenworks-configure -c Start Geben Sie dort die Nummer für Start ein, drücken Sie die Enter-Taste (Start wird mit einem Sternchen markiert) und drücken Sie erneut die Enter-Taste. Alternativ starten Sie den ZServer neu. Für ZCM 11.2.X:

8 Gehen Sie genauso vor, wie oben unter Für ZCM 11.3.X: beschrieben. Der kleine Unterschied besteht nur darin, dass der Eintrag sslprotocol="tls" durch sslprotocols="tlsv1,tlsv1.1,tlsv1.2,sslv2hello" ersetzt wird. Damit auch weiterhin das Imaging funktioniert, ist ein weiterer Patch nötig, der aber auch wieder von der ZCM-Version abhängig ist. Im Einzelnen: /etc/init.d/novell-pbserv stop cd /opt/novell/zenworks/preboot/lib (für ZCM ) cp a libzenimgweb.so libzenimgweb.so orig (für ZCM ) cp a libzenimgweb.so libzenimgweb.so orig (für ZCM ) cp a libzenimgweb.so libzenimgweb.so orig Verbinden Sie sich als root mittels WinSCP mit dem ZServer und kopieren Sie von der Arbeitsstation der im Kap.2 Vorbereitung auf der Arbeitsstation ausgepackten Datei (für ZCM ) : im Unterverzeichnis poodle\zserver\ die Datei libzenimgweb.so auf den ZServer nach /opt/novell/zenworks/preboot/lib. (für ZCM ) :im Unterverzeichnis poodle\zserver\ die Datei libzenimgweb.so auf den ZServer nach /opt/novell/zenworks/preboot/lib. (für ZCM ): im Unterverzeichnis poodle\zserver\ die Datei libzenimgweb.so auf den ZServer nach /opt/novell/zenworks/preboot/lib. Starten Sie nun wieder den Preboot-Service: /etc/init.d/novell-pbserv start Starten Sie Apache mit rcapache2 restart neu und testen Sie, ob SSL3 nun nicht mehr funktioniert: openssl s_client -connect localhost:443 -ssl3 Die Ausgabe sollte etwa so aussehen:

9 CONNECTED( ) 28945:error: :SSL routines:ssl3_read_bytes:sslv3 alert handshake failure:s3_pkt.c:1086:ssl alert number :error:1409E0E5:SSL routines:ssl3_write_bytes:ssl handshake failure:s3_pkt.c:530: 5. KServer (Vibe) Im Folgenden spielen Sie den Poodle-Patch in Vibe ein. Allerdings kann es sein, dass sich danach die Vibe-Desktop-Applikation nicht mehr mit Vibe verbinden kann. Novell hat deswegen einen neuen Patch angekündigt. Sobald dieser verfügbar ist, wird dieses Dokument entsprechend angepasst. Wenn Sie Vibe-Desktop nicht verwenden, können Sie den folgenden Patch benutzen, andernfalls ist vielleicht noch ein Abwarten sinnvoll. Haben Sie Vibe bereits nach der Anleitung paedml-novell-vibe-update-34.pdf auf die Version 3.4 angehoben, so empfehlen wir dringend das Update auf den Hotpatch 1 der Version 3.4. Dieses HP1 enthält neben vielen weiteren Dingen auch die Beseitigung der Poodle-Sicherheitslücke. Nur, wenn Sie noch die ältere Vibe-Version 3.3 weiter benutzen wollen, können Sie auch ersatzweise folgendermaßen vorgehen: Loggen Sie sich nun als root auf dem KServer ein (z.b. per PuTTY oder an der Konsole), stoppen Vibe, wechseln in das Verzeichnis /opt/novell/teaming/apache-tomcat/conf und führen dort Kopierarbeiten aus, ändern die server.xml und starten anschließend wieder Vibe. Im Einzelnen: /etc/init.d/teaming stop cd /opt/novell/teaming/apache-tomcat/conf cp a server.xml server.xml.orig Editieren Sie nun mit einem Editor die Datei server.xml.(z.b. mcedit server.xml). Lokalisieren Sie den mit <Connector port="8443"... beginnenden Block. Hier muss nun sichergestellt werden, dass TLS eingeschaltet ist. Der Block <Connector port="8443" protocol="http/1.1" SSLEnabled="true" maxthreads="200" scheme="https" secure="true" clientauth="false" sslprotocol="tls" keystorefile="conf/.keystore" keystorepass="cusauf2012dbs" keyalias="tomcat" URIEncoding="UTF-8"/> muss geändert werden in

10 <Connector port="8443" protocol="http/1.1" SSLEnabled="true" maxthreads="200" scheme="https" secure="true" clientauth="false" sslprotocol="tls" protocols="tlsv1.2,tlsv1.1,tlsv1" keystorefile="conf/.keystore" keystorepass="cusauf2012dbs" keyalias="tomcat" URIEncoding="UTF-8"/> Speichern Sie ab und starten Sie Vibe. /etc/init.d/teaming start Starten Sie Apache mit rcapache2 restart neu und testen Sie, ob SSL3 nun nicht mehr funktioniert: openssl s_client -connect localhost:443 -ssl3 Die Ausgabe sollte etwa so aussehen: CONNECTED( ) 28945:error: :SSL routines:ssl3_read_bytes:sslv3 alert handshake failure:s3_pkt.c:1086:ssl alert number :error:1409E0E5:SSL routines:ssl3_write_bytes:ssl handshake failure:s3_pkt.c:530: 6. Filr Im Folgenden spielen wir den Poodle-Patch in Filr ein. Wenn Sie und Ihre Nutzer z.b. auf Ihren heimischen Computern den Filr-Desktop verwenden, setzt dies voraus, dass auch dort die Filr-Desktop-Applikation aktualisiert wird. Auch wenn Sie schon den Filr-Desktop einsetzen, muss dieser mit dem neuen Filr-Desktop (Achtung: gleiche Versionsnummer!) aktualisiert werden! Derzeit ist die Filr Version 1.0.1aktuell (Stand dieser Veröffentlichung). Im Folgenden finden Sie eine Beschreibung zum Poodle-Patch. Die später vom LMZ veröffentlichte Filr-Version wird den nötigen Poodle-Patch bereits enthalten. 6.1 Vorbereitung Melden Sie sich mit einem Browser mit dns>:9443 als vaadmin im Filr an und klicken auf Appliance System Configuration / System Services. Da Sie anschließend eine Datei per SCP auf den Filr kopieren, muss im Filr SSH aktiviert sein. Falls dies noch nicht geschehen ist, gehen Sie wie folgt vor:

11 Danach markieren Sie SSH, klicken auf Action und dann auf Start. In der Spalte Status sollte dann Running erscheinen. Wenn dies nicht der Fall sein sollte, müssen Sie den Filr neu starten. Jetzt wird Novell Filr und Novell FAMT gestoppt. Markieren Sie dazu zunächst Novell Filr, klicken Sie auf Action und dann auf Stop. Bestätigen Sie im folgenden Fenster mit Yes und beachten Sie die Spalte Status, in der dann stehen muss: Wiederholen Sie dies für Novell FAMT.

12 6.2 Filr Desktop Melden Sie sich nun an der Konsole des Filr oder per PuTTY als root an, wechseln Sie ins Verzeichnis /opt/novell/filr/apache-tomcat/webapps/desktopapp und legen zunächst ein Backup des dortigen Verzeichnisses novellfilr an: cd /opt/novell/filr/apache-tomcat/webapps/desktopapp mv novellfilr novellfilr.bak Kopieren Sie anschließend z.b. mit WinSCP die Datei NovellFilrAutoUpdate.tgz im Verzeichnis Filr-101 aus der im Kap.2 Vorbereitung auf der Arbeitsstation ausgepackten Datei nach /opt/novell/filr/apachetomcat/webapps/desktopapp und entpacken Sie sie dort: tar xvzf NovellFilrAutoUpdate.tgz chown -R wwwrun:www novellfilr/ chmod -R g-w novellfilr/ chmod -R o-rwx novellfilr/ Die Datei NovellFilrAutoUpdate.tgz kann danach gelöscht werden. In der auf der Arbeitsstation ausgepackten Datei (siehe Kap.2 Vorbereitung) befindet sich im Verzeichnis Filr-101 auch noch ein bereits ausgepackter Ordner novellfilr, den Sie benutzen können, um die verschiedenen Filr-Desktop-Applikationen z.b. auf Ihren Webserver zu kopieren, so, wie es in der Anleitung paedml-novell-filr.pdf beschrieben ist. Dort ist auch die Installation des Filr-Desktop beschrieben. Als Update über eine vorhandene Installation kann einfach die Installation mit der neuen Version ausgeführt werden. 6.3 Filr Server Melden Sie sich nun an der Konsole des Filr oder per PuTTY als root an und wechseln Sie ins Verzeichnis /root: cd /root Kopieren Sie z.b. mit WinSCP die Datei Filr SU3.zip im Verzeichnis Filr-101 aus der im Kap.2 Vorbereitung auf der Arbeitsstation ausgepackten Datei nach /root und entpacken Sie sie dort: unzip Filr SU3.zip Dadurch befinden sich jetzt im Verzeichnis /root/ Filr SU3 das Skript apply-filr1.0.1-su3.sh und weitere Daten. Wechseln Sie in dieses Unterverzeichnis: cd /root/filr su3 Mit dem ll-befehl können Sie sich die Inhalte anschauen: filr:~/filr su3 # ll total 16 -rw-r--r-- 1 root root 1638 Oct 28 16:31 apply-filr su3.sh drwxr-xr-x 2 root root 4096 Oct 21 14:42 backup drwxr-xr-x 2 root root 4096 Oct 28 14:41 fixes -rw-r--r-- 1 root root 2554 Oct 22 14:30 readme.txt ACHTUNG: Sie dürfen das Skript nur ausführen, wenn Sie den Filr in der Version betreiben. Überprüfen Sie dies vorsichtshalber mit:

13 less /etc/novell-va-release Das Ergebnis sollte sein: product=novell Filr Appliance version= arch=x86_64 id=filr-appliance (Verlassen Sie less mit Drücken der Taste q.) Also Version !!! Wenn Sie die richtige Filr-Version haben, führen Sie nun das Skript aus. Der gesamte Vorgang erscheint etwa so: filr:~/filr su3 # sh apply-filr su3.sh Applying patch, standby... Novell Filr SU3 (rev 1) update applied on :26:34 In der Datei /opt/novell/patchlevel können Sie mit less am Ende nachlesen, was neu ist. Anschließend können Sie das Filr SU3-Verzeichnis und die zip-datei löschen: cd /root rm R Filr SU3/* rmdir Filr SU3 rm Filr SU3.zip 6.4 Abschluss So, wie Sie oben Novell Filr und Novell FAMT gestoppt hatten, werden diese Dienste nun wieder gestartet, und zwar zuerst Novell FAMT und dann Novell Filr. Ggf. können Sie SSH stoppen. Falls Sie die vaadmin-sitzung in Ihrem Browser noch geöffnet haben, ist sie wahrscheinlich in der Zwischenzeit ungültig geworden. In diesem Fall müssen Sie sich erneut als vaadmin anmelden. Alternativ können Sie auch den Filr-Server neu starten. Benutzen Sie nun Filr über einen Browser und überzeugen Sie sich von der Funktionsfähigkeit. 7. Schluss Nun wieder sicher, können Sie sich weiter der paedml-novell erfreuen. Ihre ZEN-Novell

14 8. Änderungshistorie Auf dem Deckblatt wurde ein zusätzlicher Hinweis eingepflegt: Achtung: Diese Aktualisierung ist nur für die Versionen 334 und 334R2 geeignet! 2. Im Vorwort wurde folgender Hinweis hinzugefügt: Wichtiger Hinweis: Dieses Update darf nur auf paedml Novell 334 und 334R2 durchgeführt werden, es droht sonst nach dem Einspielen des Updates ein Ausfall zentraler Dienste!

15 Landesmedienzentrum Baden-Württemberg (LMZ) Support Netz Rotenbergstraße Stuttgart Landesmedienzentrum Baden-Württemberg, 2015