在 AIQUM 9.13 和 9.14 中检测到易受攻击的 undertow 版本，导致高 CPU 和采集问题

适用于

• Active IQ Unified Manager (AIQUM) 9.13、9.14
  • RHEL/OVA/Windows
• CVE-2023-3223 &
• CVE-2023-1108

问题

• AIQUM 易受以下因素影响： 
  • CVE-2023-3223
  • CVE-2023-1108
• 这导致被 Qualys/Crowdstrike 等漏洞扫描程序扫描后，内存和 CPU 使用率不断增加
  • 这会导致 Almost out of memory 事件在 Windows 系统中发生。
    • Source: Resource-Exhaustion-Detector
Windows successfully diagnosed a low virtual memory condition. 
The following programs consumed the most virtual memory: mysqld.exe (PID) consumed xxxx bytes, java.exe (PID) consumed xxx bytes, java.exe (PID) consumed xxx bytes.
  • 这会导致 Windows 系统中的 AIQUM 服务停止。
    • Source: Service Control Manager
The NetApp Active IQ Management Server Service service entered the stopped state.
  • 从服务器监控系统到 AIQUM 的 HTTPS 协议通信反复断开并重新启动
• 高 CPU 使用率表现为：
  • 在 Windows 上，OpenJDK Platform Binary  进程表现出高 CPU 使用率。
  • 在 vApp 上，jboss CPU 使用率不断增加。
• 作为副作用，库存和性能收集开始跳过，因为之前的收集变得卡住并且仍然被认为正在运行：
  • INFO  [oncommand] [org.springframework.jms.listener.DefaultMessageListenerContainer#1-1] [com.netapp.ipc.jms.OCIE_Events] Ignoring notification : PACKAGE_SKIPPED for datasource xx.xx.xx.xx: another POLL already running
  • 性能图表未显示，显示 历史数据不足。
  • 性能图表中存在间隙。
  • 这种情况间歇性地发生。
• 聚合或卷的容量数据自某天以来未更新
• AIQUM 可以发送计划报告，但报告中的数据自某天以来未更新
• 从漏洞扫描程序到应用程序/服务器的 TCP 会话未被清除：

• au.log 显示警告：

Data source is already performing a poll of netappstorageperformance. Therefore this poll is skipped.
-
Failed to obtain reconciliation-processing lock for 0:10:00.000 for datasource

• ocumserver.log 显示错误：
  • Timeout occurred while waiting on collection completion listener ClusterSparesEventDetector..EnhancerBySpringCGLIB..abbaf0ec. Cancelling it so that others can continue
  • 错误 [oncommand] [reconciliation-0] [c.n.dfm.collector.OcieJmsListener] 忽略 PACKAGE_CHANGED 于 updateTime 周二 <timestamp>，之前的基础轮询于 pollStartTime <timestamp> 仍在处理 ds=x(xxxxxx)，添加到 droppedJmsDataSources 列表
  • ERROR [oncommand] [reconciliation-0] [c.n.dfm.collector.OcieJmsListener] Previous foundation poll at pollStartTime <timestamp> ongoing for ds=x(xxxxxx), adding to the droppedJmsDataSources list

注意：即使在不使用漏洞扫描程序的环境中，类似的访问模式也可能导致此问题。因此，没有漏洞扫描程序并不意味着环境不受此问题的影响。