Security Update: Auswirkungen von CVE-2021-44228 auf tenfold-Produkte
Beschreibung von CVE-2021-44228
Am 9. Dezember 2021 wurde die Zero-Day-Schwachstelle CVE-2021-44228, auch bekannt als Log4Shell, verรถffentlicht. Die Schwachstelle ermรถglicht eine Remote-Ausfรผhrung durch Protokolldaten, die eine mit โ${}โ formatierte Zeichenkette verwenden. Diese Zeichenkette fรผhrt zu einem Lookup, der eine Datei von einem entfernten Speicherort abruft und ausfรผhrt. Wird die Schwachstelle ausgelรถst, so kann schadhafter Code heruntergeladen und ausgefรผhrt werden. Ein erstes Proof of Concept zur Ausnutzung dieser Schwachstelle wurde am 9. Dezember 2021 verรถffentlicht. Es wurden bereits weltweite, groร angelegte Scanning-Aktivitรคten รผber die Schwachstelle beobachtet. (Details)
Betroffene log4jย Versionen
CVE-2021-44228 betrifft die log4j-Versionen 2.14.1 und niedriger. In log4j Version 2.15.0 wurde das Verhalten standardmรครig entfernt.
Auswirkungen auf tenfold-Produkte
Die jรผngste Analyse unserer Sicherheitsexperten zeigt, dass der tenfold Application Server nicht von der Schwachstelle betroffen ist.
tenfold basiert auf dem WildFly Application Server und verwendet die jboss-logmanager-Funktion zur Anwendungsprotokollierung. Diese Komponente ist nicht abhรคngig von der Bibliothek org.apache.logging.log4j:log4j-core und daher auch nicht von CVE-2021-44228 betroffen (offizielle Erklรคrung).
Was geschieht als nรคchstes?
Unsere Sicherheitsexperten verfolgen die Situation wachsamen Auges und werden, falls nรถtig, angemessen reagieren. Wir empfehlen, immer auf die neueste Softwareversion zu aktualisieren, um Ihre Umgebung effektiv vor Sicherheitslรผcken zu schรผtzen.
Sollten Sie dennoch noch Fragen zu diesem Statement haben, zรถgern Sie nicht uns zu kontaktieren unter: support@tenfold-security.com