Atualize o Umbrella Virtual Appliance para a versão 3.3.2

Introdução

Este documento descreve como atualizar o Umbrella Virtual Appliance (VA) para a versão 3.3.2.

Overview

Os clientes Umbrella que executam a versão 3.3.1 ou anterior do VA são recomendados para atualizar seus VAs para a versão 3.3.2.
A versão 3.3.2 é uma versão de patch que trata de uma vulnerabilidade no mecanismo de acesso SSH baseado em chave.

Observe que um invasor pode ter acesso ao VA para explorar potencialmente essa vulnerabilidade. A menos que um VA seja implantado com um endereço IP público (o que não é recomendado pela Cisco), a superfície de ataque é restrita apenas à rede interna.

O acesso baseado em SSH não está habilitado para VAs em execução no VMware e Hyper-V por padrão. Se você implantou VAs nesses hipervisores e não habilitou explicitamente o acesso SSH, seus VAs não estão sujeitos a essa vulnerabilidade.

Se seus VAs no VMware, Hyper-V, KVM ou Nutanix estiverem executando versões anteriores à 3.3.2, você poderá desabilitar o SSH usando o comando config va ssh disable no console VA. Esse estado persiste na atualização do VA, e você pode optar por reativar o acesso SSH quando o VA estiver executando a versão 3.3.2.

O acesso SSH não pode ser desabilitado em VAs em execução no AWS, Azure e GCP. A Cisco recomenda definir regras de segurança nessas plataformas para restringir o acesso na porta 22 do VA somente a VMs específicas que são usadas para configurar o VA. Os clientes que executam VAs nessas plataformas são aconselhados a verificar a versão do VA e atualizar para a versão 3.3.2, se necessário, o mais cedo possível. 

Se você não tiver alterado as configurações de atualização automática padrão para o VA no painel do Umbrella, seus VAs teriam sido atualizados automaticamente para a versão 3.3.2 por padrão.
Para os VAs que não estão executando a versão 3.3.2, você vê um botão de atualização em cada um desses VAs na página Sites e Ative Diretory do painel, em que você pode clicar para atualizar para esta versão.

Certifique-se de que seus VAs possam acessar disthost.umbrella.com para poder baixar a versão mais recente.

Você também pode optar por reimplantar seus VAs se eles estiverem executando versões muito antigas - nesse caso, certifique-se de baixar a versão mais recente do VA na página Sites e Ative Diretory e use isso para implantar o VA. Nesse caso, o VA está executando a versão 3.3.1 e atualiza automaticamente para a versão 3.3.2.

A Cisco não está ciente de nenhum uso mal-intencionado da vulnerabilidade mencionada.