1 漏洞描述

服务器支持 TLS Client-initiated 重协商攻击(CVE-2011-1473)
SSL 重协商攻击（SSL renegotiation attack）是一种安全漏洞攻击，它利用了 SSL/TLS 协议的重协商功能，通过与服务器重新协商密钥，来发起攻击。

SSL 重协商攻击的危害主要体现在以下两个方面：
密码重置：攻击者可以利用 SSL 重协商攻击来重置 SSL/TLS 会话密钥，从而能够窃取会话中的敏感信息，如用户名、密码等。
DoS 攻击：攻击者可以通过 SSL 重协商攻击来占用服务器的计算资源，从而导致服务器性能下降，甚至崩溃。
因此，SSL 重协商攻击是一种非常危险的攻击方式，需要及时采取措施来防范。

新版本的Vertica数据库中引入了新的内置http服务，该服务使用的端口8443涉及到本漏洞。

2 数据库临时处理办法

8443是vertica 新的内置http服务，可以关掉。
1.检查端口监听状态

[dbadmin@v001 ~]$ netstat  -an|grep 8443
tcp        0      0 0.0.0.0:8443            0.0.0.0:*               LISTEN     

2.关闭数据库内置http服务

[dbadmin@v001 ~]$ VSQL
Welcome to vsql, the Vertica Analytic Database interactive terminal.

Type:  \h or \? for help with vsql commands
       \g or terminate with semicolon to execute query
       \q to quit

vmart=> select http_server_ctrl('stop','');
select http_server_ctrl('stop','');
       http_server_ctrl        
-------------------------------
 Http server has been stopped.
(1 row)

Time: First fetch (1 row): 1137.743 ms. All rows formatted: 1137.885 ms
vmart=> select http_server_ctrl('status','');
select http_server_ctrl('status','');
      http_server_ctrl       
-----------------------------
 Http server is not running.
(1 row)

Time: First fetch (1 row): 2.245 ms. All rows formatted: 2.319 ms
vmart=> \q

3.检查端口监听状态

[dbadmin@v001 ~]$ netstat  -an|grep 8443
[dbadmin@v001 ~]$ rpm -qa|grep vertica
vertica-23.3.0-4.aarch64
[dbadmin@v001 ~]$ 

4.如果是多节点集群，上述操作需要登录每个节点去关闭。

[dbadmin@v001 ~]$ cat stop_http_server.sh
#!/bin/bash
NODE_LIST="`/opt/vertica/bin/vsql -Udbadmin -wdbadmin@2021 -Atq -c \"select listagg(node_address using parameters separator=' ', max_length=10240, on_overflow='TRUNCATE') from nodes;\"`"

for n in ${NODE_LIST};do
echo "stop node: ${n}"
/opt/vertica/bin/vsql -Udbadmin -wdbadmin@2021 -h ${n} -c "select http_server_ctrl('stop','');"
done

登陆每个节点检查端口是否关闭：

[dbadmin@v001 ~]$ cls_run "hostname -i;netstat -an|grep 8443"

3 系统级修复方案

3.1 升级修复方案

官方已发布安全修复版本,建议用户升级至官网最新版本
官网地址：https://www.openssl.org/

3.2 临时缓解措施

从受影响的 SSL/TLS 服务中完全删除/禁用重新协商功能。例如对于Java程序而言，加入参数:
-Djdk.tls.rejectClientInitiatedRenegotiation=true