Решение проблемы уязвимости защиты OpenSLP в ESXi 6.x CVE-2019-5544

Возможность эксплуатации уязвимости OpenSLP может быть устранена при помощи решения CVE-2019-5544, если следовать шагам, описанным в разделе решения в данной статье.

Предупреждение: Данное обходное решение применимо только для ESXi. Не используйте это временное решение c другими программами VMware.

Техническое влияние: С данным решением клиенты CIM, которые применяют SLP протокол для поиска сервисов через порт 427, не смогут подключиться к программе.

Решение

Для реализации данного решения для CVE-2019-5544 соблюдайте следующие шаги:

1. Остановите протокол обнаружения сервисов на ESXi хосте с помощью данной команды:

   /etc/init.d/slpd stop

   Протокол обнаружения сервисов может быть остановлен только когда сервис не используется. Используйте следующие команды для просмотра рабочего состояния протокола обнаружения сервиса Deamon:

   esxcli system slp stats get
   

2. Для отключения сервиса SLP выполните следующую команду:

   esxcli network firewall ruleset set -r CIMSLP -e 0

   Чтобы внести это изменение, сохранитесь перед перезагрузкой:

   chkconfig slpd off

   Проверьте, чтобы сохранилось:

   chkconfig --list | grep slpd
   output: slpd off
   

Для того, чтобы удалить обходное решение CVE-2019-5544, выполните следующие шаги:

1. Чтобы включить набор правил сервиса SLP, выполните следующую команду:

   esxcli network firewall ruleset set -r CIMSLP -e 1

2. Для изменения текущей информации о запуске сервиса slpd выполните следующую команду:

   chkconfig slpd on

   Введите следующую команду, чтобы проверить изменения после предыдущего шага:

   chkconfig --list | grep slpd
   output: slpd on	
   

3. Введите следующую команду для того ,чтобы включить SLP:

   /etc/init.d/slpd start

4. Деактивируйте и разблокируйте агента CIM