Netz-Treff - Sicherheitslücke Log4Shell "Internet in Flammen" Cave Admin(es)

#451193

Adi G.

06.01.2022, 11:15:29
(editiert von Adi G., 06.01.2022, 11:16:56)

Sicherheitslücke Log4Shell "Internet in Flammen" Cave Admin(es) (ed) (pc.security)

Log4Shell "Internet in Flammen"

Ich hoff' jetzt hier auf ein "Gääähn". Hamm wa schon längst gestopft.

LG

Adi

--
Die FDP ist der Essig, der den rot-grünen Ampelwein verdirbt!

CADDY der bessere VW-Bus!

"Gerade das Unvollkommene bedarf unserer besonderen Liebe" frei uminterpretiert nach Oscar Wilde

Ich war dabei, bei 3 historischen Netz-Treff Treffen, die
insgesamt vom Freitag, den 25.6.2010 bis Sonntag, den 27.6.2010
in Bad Emstal und vom Freitag, den 17.06.2011 bis zum Sonntag den 19.06.2011 in Altdorf b. Nürnberg und vom Freitag, den 15.06.2012 bis zum Sonntag, den 17.06.2012 in Eisenach, dauerten.

Reparieren, Elektroschrott vermeiden! www.repaircafe-altdorf.de

ACHTUNG! Wer zu weit nach Rechts abkommt, landet im Straßengraben!

Auch der Kluge macht Fehler, nur der Dumme lernt daraus nicht.

Deine Apotheke um die Ecke: gut beraten und gut behütet!

#451197

MudGuard

München,
06.01.2022, 13:49:08

@ Adi G.

Sicherheitslücke Log4Shell "Internet in Flammen" Cave Admin(es)

antworten

> Log4Shell
> "Internet in Flammen"
>
> Ich hoff' jetzt hier auf ein "Gääähn". Hamm wa schon längst gestopft.

Gääääääääähn. Haben wir schon gestopft.

1. war die bei uns verwendete Java-Version wohl nicht gefährdet,
2. haben wir in sämtlichen Anwendungen die vorhandenen Log4j-Versionen gegen die mit den Bugfixes jeweils getauscht (da gab's mehrere, weil immer noch mehr Probleme gefunden wurden)

--

MudGuard
O-o-ostern

#451199

bender

Strasshof an der Nordbahn,
06.01.2022, 14:17:48

@ Adi G.

Sicherheitslücke Log4Shell "Internet in Flammen" Cave Admin(es)

antworten

Auf meinem vServer läuft kein Java, von daher... :sleeping:

--
Grüße aus Strasshof an der Nordbahn (ja, da wo die Natascha im Keller lebte)
bender

sudo apt-get install brain_2.0

#451211

vordprefect

wo karl ruht..,
06.01.2022, 17:36:00
(editiert von vordprefect, 06.01.2022, 17:36:18)

@ Adi G.

Sicherheitslücke Log4Shell "Internet in Flammen" Cave Admin(es) (ed)

antworten

Hi Adi

> Log4Shell
> "Internet in Flammen"
>
> Ich hoff' jetzt hier auf ein "Gääähn". Hamm wa schon längst gestopft.
>

Die Lücke ist seit 10.12.2021 bekannt.
Wenn bis jetzt noch nicht reagiert wurde, für den kommt das wahrscheinlich zu spät und als Admin wäre das wahrscheinlich mehr als nur ein grob fahrlässiges Handeln.

--
lg,
volker

so long and thank you for the fish >~°>

Meine Fotos

#451212

MudGuard

München,
06.01.2022, 18:18:09

@ vordprefect

Sicherheitslücke Log4Shell "Internet in Flammen" Cave Admin(es)

antworten

> Wenn bis jetzt noch nicht reagiert wurde, für den kommt das wahrscheinlich
> zu spät und als Admin wäre das wahrscheinlich mehr als nur ein grob
> fahrlässiges Handeln.

Wobei es m.E. maximal Aufgabe des Admins wäre, die Entwickler darauf hinzuweisen.
Das Zeug in der Anwendung auszutauschen, kann der Admin nicht, das muß ja getestet werden, bei neuen Versionen könnte es auch Inkompatibilitäten geben, so daß der aufrufende Code ggf. angepaßt werden muß usw.

--

MudGuard
O-o-ostern

#451245

vordprefect

wo karl ruht..,
06.01.2022, 20:16:51

@ MudGuard

Sicherheitslücke Log4Shell "Internet in Flammen" Cave Admin(es)

antworten

Hi

> > Wenn bis jetzt noch nicht reagiert wurde, für den kommt das
> wahrscheinlich
> > zu spät und als Admin wäre das wahrscheinlich mehr als nur ein grob
> > fahrlässiges Handeln.
>
> Wobei es m.E. maximal Aufgabe des Admins wäre, die Entwickler darauf
> hinzuweisen.

Wenn er es bemerkt , aber zumindest sollte er die einschlägigen Quellen regelmäßig
auf Sicherheitsmeldungen prüfen.

> Das Zeug in der Anwendung auszutauschen, kann der Admin nicht, das muß ja
> getestet werden, bei neuen Versionen könnte es auch Inkompatibilitäten
> geben, so daß der aufrufende Code ggf. angepaßt werden muß usw.

Ja, aber der Admin muß zumindest dafür sorgen, daß er alles tut, damit die Lücke nicht ausgenutzt werden kann und überprüfen, welche Server verwundbar sind. Da es einen Patch bzw. eine neue Version des log4j gab, sollte das zügig installiert worden sein.
In den USA wird es Ernst: Die FTC droht mit Klagen, wenn ein Unternehmen geschlampt hat..

--
lg,
volker

so long and thank you for the fish >~°>

Meine Fotos

#451253

neanderix

06.01.2022, 20:37:58

@ vordprefect

Sicherheitslücke Log4Shell "Internet in Flammen" Cave Admin(es)

antworten

> Ja, aber der Admin muß zumindest dafür sorgen, daß er alles tut, damit
> die Lücke nicht ausgenutzt werden kann und überprüfen, welche Server
> verwundbar sind. Da es einen Patch bzw. eine neue Version des log4j gab,
> sollte das zügig installiert worden sein.

du weißt, dass es von der Log4j lib
1. mehrere Versionen gibt die
2. selbst pro Programm(!) auf mehrere Installationsordner verstreut sein können

Was die Arbeit des Admins nicht leichter macht. Dazu kommt, dass Windows - im Gegensatz zu Linux - kein Paketmanagement hat, das also sicher nicht automatisch auflösen kann.

--
Im übrigen bin ich der Meinung, dass der Gender-Neusprech bekämpft und eliminiert werden muss.

Probleme mit Windows? Reboot
Probleme mit Unix? Be root