Neu LOG4j - gibt es Updates oder Informationen zur Verwundbarkeit von Shop/JTL-Hosting und evtl Wawi?

[ingosp2]

Hallo JTL, gibt es schon eine Aussage inwieweit unsere Systeme, z.B. der Shop, durch das Loch in log4j angreifbar sind? Updates?

Ich denke da auch an JTL- Hosting, da Apache ja auch zu den verwundbaren Angriffszielen zählen soll.

Und die Wawi? Wenn da was ausfiele wären wir alle am Hund.

 

[sebjo82]

Ein paar Informationen hierzu: https://www.bsi.bund.de/SharedDocs/...21-549032-10F2.pdf?__blob=publicationFile&v=3

 

[ingosp2]

Ja, das kannte ich schon. Alles was die log4j Bibliothek verwendet ist verwundbar. Darunter vor allem auch Apache, der in fast allen Shared Server Angeboten verwendet wird. Das betrifft doch wohl alle Web-Hostings für unsere Shops, auch das JTL- Hosting??

 

[sebjo82]

Nicht standardmäßig. Log4j müsste extra installiert worden sein. Siehe hier: https://archlinux.org/packages/extra/x86_64/apache/

 

[ingosp2]

Das ist doch schon mal ne gute Aussage. Vielen Dank.
Hoffe die Kollegen im JTL- Hosting haben ihre Server schon gecheckt. Die WAWI sollte eher auch kein JAVA enthalten oder?
Bei dem Medien-Hype wäre eine beruhigende Aussage irgendwo weit oben - beruhigend.

 

[sebjo82]

log4j läuft nicht nur auf Java, sondern wurde auch auf andere Runtimes geportet, unter anderem auch .NET, womit zB die Wawi läuft

 

[Garten-Nutzer]

log4j läuft nicht nur auf Java, sondern wurde auch auf andere Runtimes geportet, unter anderem auch .NET, womit zB die Wawi läuft

Dann hoffen wir mal, dass die Wawi das nicht nutzt. Das die meisten Shared-Hoster es wahrscheinlich nutzen ist richtig übel. Die Frage ist aber für uns ob der Shop, die Wawi und die anderen Addons irgendwie betroffen sind.

 

[MHillmann]

Hallo,

nach Rücksprache mit den Kollegen, kann ich sagen, dass log4j nicht auf JTL-Hostings, nicht in JTL Wawi und auch nicht im JTL Shop genutzt wird. Daher an der Stelle, Entwarnung.

Viele Grüße
Michael

 

[recent.digital]

Hallo,

nach Rücksprache mit den Kollegen, kann ich sagen, dass log4j nicht auf JTL-Hostings, nicht in JTL Wawi und auch nicht im JTL Shop genutzt wird. Daher an der Stelle, Entwarnung.

Viele Grüße
Michael

@MHillmann danke für die Entwarnung!

Dann hoffen wir mal, dass die Wawi das nicht nutzt. Das die meisten Shared-Hoster es wahrscheinlich nutzen ist richtig übel. Die Frage ist aber für uns ob der Shop, die Wawi und die anderen Addons irgendwie betroffen sind.

Man müsste sogar noch weiter gehen und sämtliche in Frage kommende Systeme prüfen bzw. prüfen lassen. Am besten dazu den IT Admin hinzuziehen.

 

[Garten-Nutzer]

Man müsste sogar noch weiter gehen und sämtliche in Frage kommende Systeme prüfen bzw. prüfen lassen. Am besten dazu den IT Admin hinzuziehen.

Was ein Glück, dass die Software die wir nutzen entweder kein log4j nutzt oder es optional aktiviert werden muss, was es nicht ist. Also stehen wir soweit ganz gut da. Updates sind zum Glück immer sehr schnell eingespielt. Der Shop läuft ja auch schon auf Build 18

 

[mzm]

Hallo,
im Ordner "C:\Program Files (x86)\JTL-Software" ist aber "Log4net" was eine Adaption von Log4j ist.

Frage an JTL, ist es sichergestellt das dies kein Problem ist und keine Sicherheitslücke darstellt?

 

[Karalanta]

https://stackoverflow.com/questions...curity-violation-vulnerability-affect-log4net
und
https://security.stackexchange.com/questions/257873/does-cve-2021-44228-impact-log4j-ports

Sieht nicht danach aus.