2021-549032-10F2.pdf (220,2 KB)
Gruß Alois
Hallo Alois,
aha: unifi Controller ist betroffen:
… zum Glück ist der aus dem Internet nicht erreichbar …
VMware ist auch betroffen … die benutzen Java? … echte Profis …
LG
Holger
Hallo Holger,
alle die mit Java arbeiten sind betroffen. Auch Apple.
Zitat: „CVSS-Index 10 (von 10 möglichen Punkten)“
Gruß
Alois
Gruß
Alois
Hallo zusammen,
in den BigBlueButton Installationen ist log4j auch drinnen.
Viele Grüße
Klaus
Hallo zusammen,
wie sieht’s mit dem LMN-Server selbst aus?
Oder Moodle?
Viele Grüße,
Jochen
Hallo Jochen,
der sollte eigentlich nicht im Internet stehen.
Gruß
Alois
Hallo Alois,
das nicht aber einige Ports sind ja u.U. offen (z.B. ldaps,…) Wie schaut das aus, wenn da präparierte Anfragen reinkommen, die entsprechende strings in die logs schreiben?
Viele Grüße,
Jochen
Hallo Jochen,
ich habe den LDAPs immer so gehändelt, dass nur bestimmte IPs Anfragen durften. Alles andere wurde geblockt.
Beispiele:Moodle-Server und das Stundenplan Programm.
Gruß
Alois
Hi Alois,
ok, to be tested. Muss ich nachschauen.
Danke und viele Grüße,
Jochen
What about Nextcloud?
Nextcloud verwendet üblicherweise log4j nicht
Nextcloud ist nur dann betroffen, wenn die App „Volltextsuche mit elasticsearch“ installiert ist
Hallo Holger,
Vorsichtig!
Nicht alle VMWare Produkte sind betroffen:
VMware vSphere ESX z.B. nicht
Liebe Grüße
Thomas
Hallo Klaus,
in den releases zu BigBlueButton habe ich aber kein entsprechendes update gefunden.
Viele Grüße
Wilfried
Hallo Wilfried,
ja, kann sein, aber ein locate log4j liefert jedenfalls Ergebnisse.
Da muß man wohl einen Scanner drüberlaufen lassen, der die verwundbaren Pakete analysiert.
Viele Grüße
Klaus
Wir benutzen nur Python (Webui, Linbo, Base) und Perl (Sophomorix) auf dem Server.
VG, Dorian
Hallo Klaus,
bei meinem nextcloudserver nicht.
Ich meine nextcloud und moodle sind da jetzt nicht in Gefahr: das sind php Anwendungen nicht java.
LG
Holger
Hallo Klaus,
ebenso der rocket.chat-Server.
Viele Grüße
Wilfried
Rocket.Chat ist aber java script. Das sollte kein Proboem sein.
VG, Dorian
Hallo Klaus,
hier gibt es eine Diskussion bzgl. BBB, wo aber die Quintessenz ist, dass BBB nicht davon betroffen ist. Es sind zwar Pakete mit log4j im Namen installiert, diese verwenden aber nicht die betroffene war blog4j-core.jar.
Viele Grüße
Dominik