Sehr geehrte Kunden,
proBeS Cloud Services GmbH prüft und identifiziert (mit höchster Priorität) betroffene Systeme in Bezug auf Sicherheitslücken, die in CVE-2021-44228 beschrieben sind. Dieser Artikel beschreibt den aktuellen Status über durchgeführte Wartungsarbeiten und Serviceverfügbarkeit. Probleme im Zusammenhang mit diesen Sicherheitsanfälligkeiten in Cloud-gehosteten Services (DaaS, BaaS, DRaaS, File Services, etc.) die von proBeS Cloud Services – verwaltet werden, sind gemäß dem von Herstellern (wie VMware, Microsoft, etc.) bereitgestellten Leitfaden behoben worden.
Die Sicherheitsprobleme
LOG4J/LOG4SHELL
Log4j ist eine beliebte Protokollierungsbibliothek für Java-Anwendungen. Sie dient der performanten Aggregation von Protokolldaten einer Anwendung.
Die Schwachstelle CVE-2021-44228 in log4j in den Versionen 2.0 bis 2.14.1, ermöglicht Angreifern gegebenenfalls, auf dem Zielsystem eigenen Programmcode auszuführen und so den Server zu kompromittieren. Diese Gefahr besteht dann, wenn log4j verwendet wird, um eine vom Angreifer kontrollierte Zeichenkette wie beispielsweise den HTTP User Agent zu protokollieren. Diese kritische Schwachstelle hat demnach möglicherweise Auswirkungen auf alle aus dem Internet erreichbaren Java-Anwendungen, die mit Hilfe von log4j Teile der Nutzeranfragen protokollieren.
Der Schwachstelle wurde nach Veröffentlichung des Blog-Posts ein CVSS-Wert von 10.0 zugewiesen.
Erste öffentliche Quellen weisen auf breitflächiges Scannen nach verwundbaren Systemen hin.
Die kritische Schwachstelle kann ggf. auch auf internen Systemen ausgenutzt werden, sofern diese externe Daten entgegennehmen oder verarbeiten.
Maßnahmen zur Risikominderung
Ergebnisse zur Konformität (Compliance Report)
Konformitäts-Regeln und Berichte
Die Auswertung unserer Infrastruktur und Systemkomponenten erfolgt über eine Microsoft Endpoint Configuration Manager – Configuration Baseline und definierten Configuration Items. Damit werden alle bestehenden sowie neue Systeme, in regelmäßigen Abständen einer Prüfung unterzogen und ggf. einer automatisierten Korrektur unterzogen oder mit entsprechenden Updates versorgt. Diese Regeln werden vollautomatisiert über unsere Managementplattform bereitgestellt und verwaltet. Bekannte und neue Sicherheitsbedrohungen, können durch diese Maßnahmen, in kürzester Zeit identifiziert und behoben werden. Mit kontinuierlichen Statusberichten werden möglichen Risiken in Echtzeit sichtbar und ermöglichen uns eine schnellstmögliche Reaktion.
| Name | Baseline Policy | Compliance State |
|---|---|---|
| VMSA-2021-0028.1 | Overall (Workarounds) | Compliant |
| CVE-2021-44228 | Overall (App identification) | Compliant |
Selbstverständlich unterstützen wir Sie bei allen Themen zur Risikominimierung und der Umsetzung von Konformitätsregeln! Bleiben Sie informiert – in unserem Newsletter erhalten Sie neueste Informationen zu aktuellen Themen.
Gerald Langeder, proBeS Cloud Services