Menü

Update: CVE-2021-44228/CVE-2021-45046 - Apache Log4j Zero-Day vulnerability

15.12.2021 13:13:56

Beschreibung:

Update zum Ticket "TI - CVE-2021-44228 - Apache Log4j Zero-Day vulnerability - 10 ". Die empfohlene Version 2.15.0, in welcher die Schwachstelle behoben sein sollte, hat das Problem leider auch nicht gänzlich gelöst. Dazu kommt noch, dass bis Version 2.15.0 eine zusätzliche DoS Schwachstelle existiert. Wenn nur die Systemeigenschaft "log4j2.formatMsgNoLookups" auf “true” gesetzt wurde oder nur "%m{nolookups}" im ThreadContext gesetzt wurde, ist die Schwachstelle leider weiterhin ausnutzbar. Daher sollte Log4j so schnell wie möglich auf Version 2.16.0 aktualisiert werden, denn in dieser Version wurde die JNDI Funktionalität sowie die "message lookup patterns" deaktiviert Weiters wurde diese Schwachstelle mit einer neuen CVE Kennung versehen: CVE-2021-45046


Betroffene Systeme:

Sämtliche Java Applikationen, die Log4j von Version 2.0-beta9 bis 2.15.0 einsetzen.

Behobene Versionen:

Es wird empfohlen, die Release-Version (2.16.0) zu verwenden. Diese funktioniert allerdings nur mit Java 8. Falls Java 7 im Einsatz ist, sollte auf Version 2.12.2 aktualisiert werden (Diese ist noch in Entwicklung, sollte aber relativ zeitnah zur Verfügung stehen).


Empfohlene Maßnahmen:

So schnell wie möglich auf Version 2.16.0 aktualisieren.


Einschätzung der Bedrohung:

Laut diversen Quellen wird die Sicherheitslücke bereits aktiv ausgenutzt.


Weiterführende Links:

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-45046  https://logging.apache.org/log4j/2.x/security.html 

Sie benötigen Unterstützung?

Unsere  Expert*innen im ACP Systems Operations Center (SOC) stehen Ihnen mit Rat und Tat zur Seite. Teilen Sie uns einfach über nachfolgendes Formular mit, bei welchem Problem wir Ihnen helfen können.