Sie betrachten eine alte Version der Seite. Zur neuesten Version gehen.
Keine Kategorien vergeben
Log4Shell
-
- vor 2 Jahren zuletzt von MLR bearbeitet
-
-
- Keine Statusinformation
Version vom 13. Dezember 2021, 12:15 Uhr von Mlink-rodrigue (Diskussion | Beiträge)
Inhaltsverzeichnis
Anlass
Aktuelle Log4Shell Sicherheitslücke.
Derzeitige Berwertung der Schwachstellen in BlueSpice
- BlueSpice free, pro, farm
- On-Premise Installationen sind nicht betroffen.
- Die Docker-Version ist nicht betroffen.
Dies gilt für die von uns installierten Instanzen. Kunden müssen ihren Teil der Installation überprüfen (d.h. Betriebssystem, zusätzliche Pakete, etc.)
Detaillierte Einschätzung der Situation für alle BlueSpice Editionen
Potenziell betroffene Komponenten
- ElasticSearch => Auch ElasticSearch meldet, dass sie nicht betroffen sind: https://discuss.elastic.co/t/apache-log4j2-remote-code-execution-rce-vulnerability-cve-2021-44228-esa-2021-31/291476 Also kein Code-Red-Alert, aber wir behalten es im Auge. => nicht anfällig
- Java-Server
- Tomcat => explizite Konfiguration von log4j erforderlich. Im Standard ist log4j nicht aktiviert. Wir ändern das nicht => nicht anfällig
- Jetty => explizite Konfiguration von jetty erforderlich. Im Standard ist log4j nicht aktiviert. Wir ändern das nicht => nicht anfällig
- Java Webservices
- xhtmlrenderer => es gibt ein log4j Plugin, aber es wird in unserem Service nicht benutzt => nicht anfällig
- VisualDiff => benutzt daisydiff + andere. Benutzt kein log4j => nicht anfällig
- LaTeX2png => benutzt jlatexmath Bibliothek. Benutzt kein log4j => nicht anfällig
- Draw.io meldet, dass die Anwendung nicht betroffen ist: https://twitter.com/drawio/status/1470061320066277382 => nicht anfällig
Docker: Gibt es betroffene Komponenten?
- Die Liste der im Docker-File aktivierten Packages wurde geprüft. => nicht anfällig