{"id":41,"date":"2022-12-15T08:00:18","date_gmt":"2022-12-15T08:00:18","guid":{"rendered":"https:\/\/tecno-experts.com\/fransilvablog\/?p=41"},"modified":"2026-08-20T03:55:37","modified_gmt":"2026-08-20T03:55:37","slug":"remediacion-de-vulnerabilidad-apache-log4j-en-vcenter-server","status":"publish","type":"post","link":"https:\/\/tecno-experts.com\/fransilvablog\/tecnologia\/remediacion-de-vulnerabilidad-apache-log4j-en-vcenter-server\/","title":{"rendered":"Remediaci\u00f3n de vulnerabilidad Apache Log4j en vCenter Server"},"content":{"rendered":"

<\/span><\/p>\n

Hola, este nuevo post mostrar\u00e9 como realizar la remediaci\u00f3n de la vulnerabilidad de\u00a0Apache Log4j Remote Code Execution (RCE) identificada como cr\u00edtica seg\u00fan el equipo de seguridades de VMware bajo el VMSA (VMware Security Advisory)\u00a0VMSA-2021-0028.2<\/a>. Hablemos un poco de esta vulnerabilidad.<\/span><\/p>\n

Apache Log4j Remote Code Execution (RCE)<\/span>\u00a0<\/strong><\/span><\/p>\n

La vulnerabilidad se encuentra indexada en el CVE (Common Vulnerabilities and Exposures)\u00a0CVE-2021-44228<\/a>\u00a0publicada el 10 de diciembre de 2021 y tiene como puntuaci\u00f3n de 10\/10 en la escala de severidad.<\/span><\/p>\n

El fallo consiste en una vulnerabilidad de ejecuci\u00f3n remota de c\u00f3digo que permite que un atacante ejecute cualquier c\u00f3digo en un servidor afectado, vali\u00e9ndose de una de las librer\u00edas de registro m\u00e1s usadas basada en java (Log4j<\/a>). VMware no queda por fuera de esta vulnerabilidad ya que varios productos trabajan con la librer\u00eda, los productos afectados se los encuentra en la VMSA-2021-0028.2<\/a>.<\/span><\/p>\n

Para mayor informaci\u00f3n recomiendo esta lectura muy interesante que expusieron en el blog de seguridad de VMware\u00a0Investigating CVE-2021-44228 Log4Shell Vulnerability<\/a><\/span><\/p>\n

Remediaci\u00f3n de vulnerabilidad en vCenter Server 7.x y 6.x<\/strong><\/span><\/p>\n

El equipo de VMware tiene una soluci\u00f3n alterna o workaround que mitigar\u00e1n moment\u00e1neamente este problema, sin embargo se debe seguir la recomendaci\u00f3n del VMSA y actualizar con un nuevo parche cuando est\u00e9 disponible.<\/span><\/p>\n

Los pasos para seguir se encuentran documentados en los KBs: 87081<\/a> y 87088<\/a>, en este segmento, vamos a realizar el workaround usando un script automatizado.<\/span><\/p>\n

Primero debemos descargarnos el script vmsa-2021-0028-kb87081<\/a>\u00a0que est\u00e1 disponible en la p\u00e1gina del KB-87088 y luego subimos al vCenter Server a la ubicacion \/tmp, podemos usar WinSCP,\u00a0por si da problemas la conexi\u00f3n\u00a0el comando a usar para habilitar el Bash Shell:<\/span><\/p>\n

 chsh -s \/bin\/bash root<\/code><\/pre>\n
Para desactivar se corre el comando:<\/span><\/p>\n
chsh -s \/bin\/appliancesh root<\/code><\/pre>\n
Una vez que tenemos el script, y luego de haber realizado un snapshot de preferencia con la VM apagada. Debemos correrlo usando las sentencias:<\/span><\/p>\n
python \/tmp\/vmsa-2021-0028-kb87081.py<\/code><\/pre>\n
<\/span><\/p>\n
Esperamos que el script haya finalizado\u00a0<\/span><\/p>\n

<\/span><\/p>\n
\u00a0<\/span><\/p>\n
Segundo debemos descargarnos el script remove_log4j_class<\/a>\u00a0que est\u00e1 disponible en la p\u00e1gina del KB-87081 y luego subimos al vCenter Server a la misma ubicacion \/tmp, para ejecutarlo,\u00a0con la siguiente sentencia eliminamos las vulnerabilidades:<\/span><\/p>\n
python \/tmp\/remove_log4j_class.py<\/code><\/pre>\n
<\/span><\/p>\n
Validamos usando la opci\u00f3n \u00abdry-run\u00bb del script en el cual no debe salir informaci\u00f3n de archivos vulnerables.<\/span><\/p>\n
python \/tmp\/remove_log4j_class.py -r<\/code><\/pre>\n
<\/p>\n
Adem\u00e1s, se debe verificar si los cambios afectaron al servicio vMon<\/strong> que inicie con el nuevo par\u00e1metro –Dlog4j2.formatMsgNoLookups=true<\/em>, ejecutando el comando:<\/span><\/p>\n
ps auxww | grep formatMsgNoLookups<\/code><\/pre>\n
<\/span><\/p>\n
Y por \u00faltimo, analizar el cambio en los servicios Analytics y CM<\/strong> los cuales deben devolver el valor de 0 lineas, usando los comandos respectivamente:<\/span><\/p>\n
grep -i jndilookup \/usr\/lib\/vmware\/common-jars\/log4j-core-2.8.2.jar | wc -l\r\ngrep -i jndilookup \/usr\/lib\/vmware-cm\/lib\/log4j-core.jar | wc -l<\/code><\/pre>\n
<\/span><\/p>\n
En vCS versi\u00f3n 7.x se debe validar adicional el cambio en el servicio de Update Manager<\/strong>, usando el siguiente comando:<\/span><\/p>\n
\/usr\/lib\/vmware-updatemgr\/bin\/jetty\/java -jar start.jar --list-config<\/code><\/pre>\n
La respuesta debe ser log4j2.formatMsgNoLookups = true<\/em> bajo la opci\u00f3n System Properties<\/em><\/span><\/p>\n
<\/p>\n
Finalmente<\/strong>, debemos estar pendientes de las actualizaciones del VMSA para actualizar nuestros vCS, el workaround es una\u00a0soluci\u00f3n temporal, la remediaci\u00f3n definitiva vendr\u00e1 como PARCHE de las versiones de vCS.<\/span><\/p>\n","protected":false},"excerpt":{"rendered":"
Hola, este nuevo post mostrar\u00e9 como realizar la remediaci\u00f3n de la vulnerabilidad de\u00a0Apache Log4j Remote Code Execution (RCE) identificada como cr\u00edtica seg\u00fan el equipo de seguridades de VMware […]<\/p>\n","protected":false},"author":1,"featured_media":42,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[5],"tags":[22,64,65,66,62,8,9,21,14,63,61],"class_list":["post-41","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia","tag-appliance","tag-cve","tag-cve-2021-44228","tag-cve-2021-45056","tag-logshell","tag-mantenimiento","tag-tecnologia","tag-vcenterserver","tag-vcsa","tag-vmsa","tag-vulnerabilidad"],"_links":{"self":[{"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/posts\/41","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/comments?post=41"}],"version-history":[{"count":1,"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/posts\/41\/revisions"}],"predecessor-version":[{"id":96,"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/posts\/41\/revisions\/96"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/media\/42"}],"wp:attachment":[{"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/media?parent=41"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/categories?post=41"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/tags?post=41"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}