Sicherheitserklärung bezüglich: CVE-2021-44228, die Sicherheitslücke in log4j 2.x

Belangrijk XiltriX beveiligingsnieuws

Inleiding

Mehr und mehr internationale Organisationen haben sich für eine Sicherheitslücke in der log4j 2.x-Software entschuldigt. Diese Sicherheitslücke wurde unter dem Namen CVE-2021-44228 bekannt. Details über die Sicherheitslücke sind auf der NCSC-Website veröffentlicht: https://www.ncsc.nl/actueel/advisory?id=NCSC-2021-1052. Diese Beveiligingslek wird als Kritik daran geäußert, dass die Verwendung von (externem) Code sowohl mit Start-ROOT-Authorisaties als auch mit Gebruikersautorisaties möglich ist.

 

Wurde dies in die XiltriX-Übertragung einbezogen?

NEE -> Die Benutzerschnittstelle des Java-Clients erlaubt keine Nutzung von Log4j.

NEE -> Das Java-Webtoepassing wird nicht von log4j genutzt.

NEE -> Apache Tomcat, der Servlet-Container (Webserver), auf dem das Webtoepassing läuft, verwendet kein log4j.

Wurde dies in das Linux-Bestätigungssystem integriert, in dem XiltriX installiert ist?

NEE -> Auf den meisten Linux-Distributionen ist log4j 1.x als eine Erweiterung von Apache Tomcat installiert. Bitte beachten Sie, dass es sich bei dieser Version um 1.x handelt, für die es noch keinen Nachfolger gibt.

Gibt es in anderen Versionen von log4j verifizierbare Kwetsbaarheden?

Es gibt eine verwandte CVE-2021-4104, die von Apache speziell für log4j 1.x entwickelt wurde und noch nicht veröffentlicht werden konnte. Es handelt sich um einen Exploit, der einen log4j-Konfigurationsbestand ausnutzt, um die Verwendung einer angepassten, expliziten Logbestand-Applikation zu verhindern, die das System auf eine andere Weise als die CVE für log4j 2.x verwirrt. Der Root-Zugang ist erforderlich, um andere Konfigurationen zu ändern, und wer den Root-Zugang hat, kann keine Fehler in der Konfiguration machen.

Vragen en aanbevelingen

Wenn Sie diese Erklärung nicht befolgen können, sollten Sie sich mit unserer Supportabteilung unter support@xiltrix.com in Verbindung setzen. XiltriX International weist darauf hin, dass die XiltriX-Anwendung und die dazugehörigen Betriebssysteme regelmäßig aktualisiert werden. Hierfür bietet XiltriX die erforderlichen Support- und Beratungsleistungen an.

Met vriendelijke groeten

XiltriX International

Han Weerdesteyn

CCO