Log4j Sicherheitslücken (CVE-2021-44228,CVE-2021-4104,CVE-2021-44832,CVE-2019-17571)

Dieses Thema hat 11 Antworten sowie 8 Teilnehmer und wurde zuletzt vor vor 4 Jahren, 1 Monat von Torsten Uhr aktualisiert.

Beitrag

- 13. Dezember 2021 um 8:12 Uhr
- Zitieren
BurkhardMichalski
Teilnehmer
Am Freitag 01.12.21 ist die Log4j Sicherheitslücke (https://www.heise.de/news/Kritische-Zero-Day-Luecke-in-log4j-gefaehrdet-zahlreiche-Server-und-Apps-6291653.html) bekannt geworden.

Da Transconnect auf Java basiert, ist er auch potentiell betroffen. Daher meine Fragen:

Ist das Problem bekannt?

Welche TC-Versionen sind betroffen?

Welche Maßnahmen müssen ergriffen werden?

Hochgeladene Dateien sind nur für angemeldete und verifizierte Nutzer sichtbar.
0
0

Ansicht von 3 Antworten – 9 bis 11 (von insgesamt 11)

← 1 2

Antworten

- 3. Januar 2022 um 13:58 Uhr
- Zitieren
Markus Franke
Administrator
In Log4j 1.x wurde mit CVE-2021-44832 eine weitere kritische Schwachstelle gefunden.

Im Gegensatz zu CVE-2021-44228 (relevant für Log4j 2.0b – 2.16) ist auch hier analog zu CVE-2021-4104 eine ganz spezielle Logging-Konfiguration der Log4j Bibliothek notwendig damit diese Sicherheitslücke überhaupt ausgenutzt werden kann.

TRANSCONNECT ist nach aktuellem Stand hier wieder nicht betroffen, da auch diese Konfiguration hier nicht zum Einsatz kommt.

Hochgeladene Dateien sind nur für angemeldete und verifizierte Nutzer sichtbar.
0
0
- 12. Januar 2022 um 13:57 Uhr
- Zitieren
ufukalver
Teilnehmer
Gibt es eventuell schon die Möglichkeit bzw. Aussichten, wann es möglich ist auf das aktuelle Update von Log4j zu patchen?

Bei anderen Anwendungen wo die Version noch nicht gepatcht werden könnte, haben wir auch andere Maßnahmen ergriffen, wie die betroffene Klasse zu entfernen (JndiLookup).

@Herr Rehn: Ist das auch in der Version log4j-1.2.17 eine Möglichkeit oder wurde sie sogar schon in der Version, die Sie bereits zum ersetzen geliefert haben entfernt worden?

Beste Grüße aus Hannover

Emre Alver

Hochgeladene Dateien sind nur für angemeldete und verifizierte Nutzer sichtbar.
0
0
- 21. Februar 2022 um 9:31 Uhr
- Zitieren
Torsten Uhr
Betrachter
Die Log4J Bibliothek 1.x haben wir in Version 2.3.4 und 2.3.5 mit Build 15820 gepatcht. Die vulnerablen Klassen sind dort jetzt nicht mehr enthalten.

Ein Update auf Log4J 2.x steht bei uns im Backlog, ist aber aktuell noch nicht konkret terminiert.

Ihr TRANSCONECT-Team

Hochgeladene Dateien sind nur für angemeldete und verifizierte Nutzer sichtbar.
0
0

Ansicht von 3 Antworten – 9 bis 11 (von insgesamt 11)

← 1 2

Du musst angemeldet sein, um auf dieses Thema antworten zu können.