Warnstufe rot laut BSI: Die Log4j-Lücke hält Web-Dienste und Anwender gleichermaßen in Atem. AEB hat sofort mit Sicherheitsmaßnahmen begonnen – und verzeichnet bisher keinen erfolgreichen Angriff.
Da keine wesentlichen neuen Erkenntnisse bezüglich kritischer Log4j-Lücken bekannt sind, werden wir voraussichtlich keine weiteren Aktualisierungen an diesem Artikel vornehmen. Alle weiteren Schwachstellen zu Log4j werden von AEB wieder im Rahmen des normalen Vulnerability-Prozesses bearbeitet.
Neue Erkenntnisse werden konstant beobachtet und entsprechend die Systeme geschützt bzw. gepatched. Auch auf die weiteren entdeckten kritischen Schwachstellen reagiert AEB unverzüglich.
Es gilt weiterhin: AEB-Systeme sind nach aktuellem Kenntnisstand für diese Sicherheitslücken sicher. Das gilt sowohl für AEB-Cloud-Anwendungen als auch bei On-Premises-Installationen.
Unsere Maßnahmen, die hier genannt sind, adressieren in Log4j1 Version 1.x insbesondere die Schwachstelle
und in Log4j2 Version 2.x die Schwachstellen
Ihre Systeme sind nicht betroffen ...
Eingesetzte 3rd-Party-Komponenten sind, sofern sie für einen externen Angriff anfällig waren, entweder auch auf die jeweils aktuellste Version gepatcht, notwendige Workarounds eingerichtet oder die Systeme ersetzt worden.
Zusätzlich sichern die eingesetzten Security-Maßnahmen an mehreren Stellen Ihrer Lösung vor der Ausnutzung dieser und anderen Schwachstellen. Dies bestätigen regelmäßige Vulnerability Scans und Penetrationstests.
Sie müssen On-Premise-Lösungen nicht anpassen oder patchen (sofern diese sich noch im Wartungsversprechen befinden). In manchen Fällen verwenden on-Premise-Lösungen von AEB eine Komponente von Log4j in der Version 1.x. Hier werden aber die betroffenen Teil-Komponenten von AEB nicht eingesetzt und die Konfiguration ist auch entsprechend eingeschränkt, z. B. lässt sie nur vordefinierte Appender zu.
Aufgrund weiterer Erkenntnisse zur „Log4j Schwachstelle“ hat AEB Systeme und Lösungen weiter analysiert und wo nötig auf die neuen Erkenntnisse eingestellt. Weiterhin ist richtig: AEB-Systeme sind nach aktuellem Kenntnisstand für diese Sicherheitslücke sicher. Das gilt sowohl für AEB-Cloud-Anwendungen als auch bei On-Premises-Installationen.
Systeme wurden, wo nötig, auf die log4j 2.16 aktualisiert.
Apple, Twitter, Amazon: Von der Sicherheitslücke in der Java-Bibliothek Log4j sind fast alle Web Services betroffen. Noch bevor das Bundesamt für Sicherheit in der Informationstechnik die höchste Warnstufe ausgerufen hat, sind bei AEB sämtliche Sicherheitsmaßnahmen angelaufen. Die AEB-Spezialisten haben die Systeme untersucht und bei Bedarf Patches oder Abwehrmechanismen implementiert.
