Log4Shell

Hier finden Sie wichtige Informationen zur derzeitigen Log4Shell Sicherheitslücke.

• BSI Meldung vom 13.12.2021

Derzeitige Berwertung der Schwachstellen in BlueSpice

• BlueSpice free, pro, farm
  • On Premise (Barebone) sind nicht betroffen
  • Die Docker-Version ist nicht betroffen

Dies gilt für die von uns installierten Instanzen. Kunden müssen ihren Teil der Installation überprüfen (d.h. Betriebssystem, zusätzliche Pakete, etc.)

Detaillierte Einschätzung der Situation für alle BlueSpice Editionen

Erste Einschätzung: Bluespice verwendet zwar einen Logger in den Webservices, aber wir implementieren nur gegen generische java.util.logging.* Schnittstellen. Die eigentliche Implementierung wird von der Umgebung (=Tomcat Server) bereitgestellt. Ein Update der Umgebung sollte daher ausreichen. Bitte beachten Sie, dass die Tomcat Versionen 8.5 und 9 weiterhin unterstützt werden. Es sollte also keine Notwendigkeit für ein Upgrade bestehen.

Elastic Search: Auch ElasticSearch meldet, dass sie nicht betroffen sind. Also kein Code-Red-Alert, aber wir behalten es im Auge.

Normalerweise sind BlueSpice Webservices so gebunden, dass sie nur auf Verbindungen von localhost hören (keine ausgehenden Verbindungen, z. B. aus dem lokalen Intranet oder sogar dem Internet). Das minimiert das Risiko. Aber natürlich gibt es auch Ausnahmen von dieser Regel, insbesondere bei Multi-Server-Konfigurationen. Es ist auch keine 100%ige Sicherheit.

DrawIO: Einige Kunden haben eine eigene "DrawIO"-Instanz, die auf der Liste der anfälligen Systeme steht.

Potenziell betroffene Komponenten

• ElasticSearch => nicht anfällig
• Java-Server

• • Tomcat => explizite Aktion zur Verwendung von log4j erforderlich. Wir verwenden es nicht => nicht anfällig
    • https://tomcat.apache.org/tomcat-8.0-doc/logging.html#Using_Log4j
    • https://tomcat.apache.org/tomcat-9.0-doc/logging.html#Using_java.util.logging_(default)
    • https://tomcat.apache.org/tomcat-10.0-doc/logging.html#Using_java.util.logging_(default)
  • Jetty => https://www.eclipse.org/jetty/security_reports.php Not configured, jetty uses slf for logging, we do not change that => nicht anfällig
• Java Webservices
  • xhtmlrenderer => es gibt ein log4j Plugin, aber es wird in unserem Service nicht benutzt => nicht anfällig
  • VisualDiff => benutzt daisydiff + andere, kein log4j => nicht anfällig
  • LaTeX2png => benutzt jlatexmath Bibliothek. Benutze kein log4j => nicht anfällig
• Draw.io => nicht anfällig

Docker: Gibt es betroffene Komponenten?

• Folgende Liste prüfen: https://gitlab.hallowelt.com/BlueSpice/bluespice-docker-pro/-/blob/master/Dockerfile => nicht anfällig
  • https://security-tracker.debian.org/tracker/CVE-2021-44228