Log4J Version 1.x
In Log4J Version 1.x existieren 2 bekannte Sicherheitslücken:
Beide Lücken sind für alle in Auslieferung befindlichen HUP Produkte nicht relevant, da die jeweils kompromittierbaren Komponenten (JMSAppender bzw. Socket-Server) manuell per Konfiguration serverseitig aktiviert werden müssen.
Da in keinem unserer Produkte diese optionalen Komponenten aktiv sind, sind somit auch die bekannten Lücken nicht offen.
CVE-2019-17571 erfordert zudem Zugriff auf gesonderte Ports des Servers, was idR. allein schon durch die Firewalls blockiert wird.
Da der der Funktionsumfang von Log4J 1.x ausreichend für unsere Anwendungsfälle ist, planen wir kurzfristig kein Update dieser Komponente.
Liebe Kundinnen und Kunden,
die HUP-Techniker haben die zweite Systemsichtung abgeschlossen und die Tabelle aktualisiert.
Ihr HUP-Team
Liebe Kundinnen und Kunden,
in der Tabelle auf dieser Seite: Übersicht HUP-Systeme finden Sie eine Auflistung der HUP-Systeme und Informationen zu unseren Aktivitäten und Ihren Aufgaben.
Wir halten Sie weiter auf dem Laufenden!
Ihr HUP-Team
Liebe Kundinnen und Kunden,
wir heißen Sie auf unserem HUP-internen Newsticker zur Log4Shell-Sicherheitslücke herzlich willkommen. Hier halten wir Sie über unsere Aktivitäten auf dem Laufenden.
Schauen Sie doch bitte regelmäßig vorbei.
Ihr HUP-Team
Um was geht es? -> Nützliche Links
Darum ist Log4Shell so gefährlich:
Über den Programmschnipsel Log4Shell und die festgestellte Sicherheitslücke durchsuchen kriminelle Hacker das Internet automatisiert gesamthaft nach verwundbaren Systemen. Deren Ziel ist es, zum Beispiel Daten zu entwenden. „Die Log4j-Schwachstelle steckt in einer oft genutzten Bibliothek für die Java-Software. Sie ist zwar auf einige ältere Versionen der Bibliothek mit dem Namen Log4j beschränkt, allerdings hat niemand einen vollen Überblick darüber, wo überall die gefährdeten Versionen von Log4j genutzt werden”, fasst die SPIEGEL-Redaktion zusammen. Da durch die Lücke unauffällige Hintertüren eingebaut werden können, können Angriffe zeitlich versetzt stattfinden.
Anbei einige nützliche Links aus den Medien und vom Bundesamt für Sicherheit in der Informationstechnik (BSI) zum Thema "Log4Shell".
BSI auf Twitter
