Aggiornamento di Umbrella Virtual Appliance alla versione 3.3.2

Introduzione

Questo documento descrive come aggiornare Umbrella Virtual Appliance (VA) alla versione 3.3.2.

Panoramica

Si consiglia ai clienti Umbrella che eseguono VA versione 3.3.1 o precedente di aggiornare i VA alla versione 3.3.2.
La versione 3.3.2 è una release di patch che risolve un problema di vulnerabilità del meccanismo di accesso SSH basato su chiavi.

Si noti che un utente malintenzionato può accedere all'VA per sfruttare potenzialmente questa vulnerabilità. A meno che un VA non venga implementato con un indirizzo IP pubblico (cosa non consigliata da Cisco), la superficie di attacco è limitata solo alla rete interna.

Per impostazione predefinita, l'accesso basato su SSH non è abilitato per i VA in esecuzione su VMware e Hyper-V. Se su questi hypervisor sono stati distribuiti VA e non è stato esplicitamente abilitato l'accesso SSH, i VA non sono soggetti a questa vulnerabilità.

Se sui VA di VMware, Hyper-V, KVM o Nutanix sono in esecuzione versioni precedenti alla 3.3.2, è possibile disabilitare il protocollo SSH usando il comando config via ssh disable sulla console VA. Questo stato viene mantenuto durante l'aggiornamento di VA ed è possibile scegliere di riabilitare l'accesso SSH dopo che VA ha eseguito la versione 3.3.2.

Non è possibile disabilitare l'accesso SSH sui servizi VA in esecuzione su AWS, Azure e GCP. Cisco consiglia di impostare le regole di sicurezza su queste piattaforme per limitare l'accesso sulla porta 22 del VA solo a VM specifiche utilizzate per configurare il VA. I clienti che utilizzano VA su queste piattaforme devono verificare la versione VA e, se necessario, eseguire l'aggiornamento alla versione 3.3.2 al più presto. 

Se non sono state modificate le impostazioni di aggiornamento automatico predefinite per VA nel dashboard Umbrella, per impostazione predefinita i VA verranno aggiornati automaticamente alla versione 3.3.2.
Per i VA che non eseguono la versione 3.3.2, nella pagina Siti e Active Directory del dashboard è disponibile un pulsante di aggiornamento per ogni VA di questo tipo, che è possibile selezionare per eseguire l'aggiornamento a questa versione.

Assicurarsi che i VA siano in grado di accedere a disthost.umbrella.com per poter scaricare la versione più recente.

È inoltre possibile scegliere di ridistribuire i VA se sono in esecuzione versioni molto vecchie. In questo caso, assicurarsi di scaricare la versione più recente dei VA dalla pagina Siti e Active Directory e di utilizzarla per distribuire i VA. In questo caso, VA esegue la versione 3.3.1 e si aggiorna automaticamente alla versione 3.3.2.

Cisco non è a conoscenza di alcun uso dannoso della vulnerabilità menzionata.