Kritische neue Zero-Day-Schwachstelle in beliebter Log4j-Bibliothek entdeckt | Blog lesen

Log4j Exploit-Updates

Log4j Download-Dashboard

Log4j_Public_2021-12-18T0052 2

Neueste Erkenntnisse

1/6/22:

Am Dienstag haben wir einen drastischen Anstieg beim Abruf von 2.17.0 verzeichnet, dem gestern ein ähnlich hoher Anstieg beim Abruf von 2.17.1 folgte. Dies ist schwer zu erklären, da .1 mittlerweile vor deutlich mehr als einer Woche veröffentlicht wurde. Warum stürzten sich plötzlich alle auf die Version .0, obwohl die Version .1 verfügbar war?

Taiwan und China nutzen weiterhin in hohem Umfang Versionen mit bekannten Schwachstellen. Wie aus der Grafik links unten hervorgeht ist dies von Anfang an in etwa konstant.

 

--Brian

1/6/22:

Am Dienstag haben wir einen drastischen Anstieg beim Abruf von 2.17.0 verzeichnet, dem gestern ein ähnlich hoher Anstieg beim Abruf von 2.17.1 folgte. Dies ist schwer zu erklären, da .1 mittlerweile vor deutlich mehr als einer Woche veröffentlicht wurde. Warum stürzten sich plötzlich alle auf die Version .0, obwohl die Version .1 verfügbar war?

Taiwan und China nutzen weiterhin in hohem Umfang Versionen mit bekannten Schwachstellen. Wie aus der Grafik links unten hervorgeht ist dies von Anfang an in etwa konstant.

 

--Brian

FTC-Warnung infolge von Log4j: Sichern Sie Ihre Software-Supply-Chain

FTC-Warnung infolge von Log4j: Sichern Sie Ihre Software-Supply-Chain

Eine fehlende Reaktion auf Log4shell-Probleme kann zu mehr als nur Ausfallzeiten oder Reputationsschäden führen. US-amerikanische Aufsichtsbehörden erwägen Klagen zur Durchsetzung der Sicherheit.

WEITER LESEN
Log4j – Videovorschau 2

Log4j Exploit Explained - Everything You Need to Know to Protect Yourself

Unternehmen müssen auf Log4j achten – nicht nur bei der Software, die sie produzieren, sondern auch bei der Software, die sie nutzen. Jede in Java geschriebene Software enthält wahrscheinlich irgendwo im Stack Log4j.

Jetzt ansehen
image3-3

Kritische Log4j-Schwachstelle wird weiterhin in 40 % aller Fälle heruntergeladen

Die Java- und Apache Software Foundation-Experten von Sonatype geben ein weiteres Update zur Entwicklung der Log4j-Schwachstelle sowie zu den verschiedenen Varianten, die wir verzeichnen, und teilen neue Trends bei Log4j-Downloads. 

Jetzt ansehen 

Kostenlose Tools, die Ihnen jetzt weiterhelfen

Vulnerability- Scanner-icon-only-White + Color

Nexus Vulnerability Scanner

Erzeugen Sie eine Software Bill of Materials (SBOM) und katalogisieren Sie alle Komponenten in Ihrer Anwendung.

JETZT SCANNEN
Lift-logo-icon-only-white

Sonatype Lift

Finden und beheben Sie kritische Probleme bezüglich Sicherheit, Leistung, Zuverlässigkeit und Stilistik im Entwicklercode.

KOSTENLOS TESTEN
OWASP-icon

OSS Index

Erkennen Sie öffentlich bekannt gewordene Sicherheitslücken innerhalb der Abhängigkeiten Ihres Projekts

WEITERE INFORMATIONEN

„Diese neue Log4j-Sicherheitslücke wird wahrscheinlich ein weiteres "Mega"-Ereignis in der Zeitleiste bedeutender Schwachstellen sein. Es ist das am weitesten verbreitete Logging-Framework im Java-Ökosystem.“

—Brian Fox, CTO von Sonatype, in The Daily Swig

Sonatype-Updates

Kritische neue Zero-Day-Schwachstelle in beliebter Log4j-Bibliothek entdeckt

Blog

Kritische neue Zero-Day-Schwachstelle in beliebter Log4j-Bibliothek entdeckt 

WEITER LESEN
Log4Shell-Hilfe für Central-Publisher

ARTIKEL

Log4Shell-Hilfe für Central-Publisher

WEITER LESEN
Unterstützung der Open-Source-Community beim Finden, Fixen und Beseitigen von Problemen mit Log4j

Blog

Unterstützung der Open-Source-Community beim Finden, Fixen und Beseitigen von Problemen mit Log4j

WEITER LESEN
Analyse der Log4j-Sicherheitslücke

Video

Analyse der Log4j-Sicherheitslücke

Jetzt ansehen
Alle Log4j- und Logback-Fehler, die wir bisher kennen, und warum Sie Version 2.15 unbedingt loswerden müssen

ARTIKEL

Haben Sie ein Upgrade auf log4j 2.16 vorgenommen? Überraschung: Es gibt eine 2.17 zur Behebung der DoS-Schwachstelle.

WEITER LESEN
Kritische neue Zero-Day-Schwachstelle in beliebter Log4j-Bibliothek betrifft Anwendungen in großem Umfang

Video

Kritische neue Zero-Day-Schwachstelle in beliebter Log4j-Bibliothek betrifft Anwendungen in großem Umfang

Jetzt ansehen
Forum zu Log4j in der Sonatype-Community

FORUM

Forum zu Log4j in der Sonatype-Community

Jetzt mitmachen
Log4j mit Sonatype finden und fixen

Video

Log4j mit Sonatype finden und fixen

WEITER LESEN

Sie haben Fragen zu Log4j? Wenden Sie sich damit an die Sonatype-Community.

JETZT FRAGEN

Sie haben Fragen zu Log4j? Wenden Sie sich damit an die Sonatype-Community.

JETZT FRAGEN

Dokumentation und Recherche von Sonatype

CVE-2021-44228 (kritisch):

Ursprüngliche log4j-CVE, mit der alles begann. Wirkt sich nur auf die Versionen 2.x von „org.apache.logging.log4j.log4j-core“ aus: <2.15.0 betroffen.

CVE-2021-4104 (mittelschwer):

Weniger schwerwiegende Variante von CVE-2021-44228, die sich nur auf log4j 1.x auswirkt.Wirkt sich auf alle Versionen von einer gänzlich anderen Gruppe/Artefakt aus: „log4j:log4j“. Betrifft nicht „log4j-core“ (das sind die Versionen 2.x).

CVE-2021-44228 (kritisch):

Ursprüngliche log4j-CVE, mit der alles begann. Wirkt sich nur auf die Versionen 2.x von „org.apache.logging.log4j.log4j-core“ aus: <2.15.0 betroffen.

CVE-2021-4104 (mittelschwer):

Weniger schwerwiegende Variante von CVE-2021-44228, die sich nur auf log4j 1.x auswirkt.Wirkt sich auf alle Versionen von einer gänzlich anderen Gruppe/Artefakt aus: „log4j:log4j“. Betrifft nicht „log4j-core“ (das sind die Versionen 2.x).

CVE-2021-45046 (HOCH):

DoS-Schwachstelle, von der log4j-core-Versionen <=2.15.0 betroffen sind, aber nicht 2.16.0. 

Sonatype-2021-4517 oder auch bekannt als CVE-2021-42550 (mittelschwer):

Ähnlich wie CVE-2021-4104, wirkt sich jedoch auf „logback-classic“ und „logback-core“ aus, da Logback auf log4j 1.x basiert. Die Sonatype-ID basiert auf diesem Thema: https://jira.qos.ch/browse/LOGBACK-1591 

CVE-2021-45046 (HOCH):

DoS-Schwachstelle, von der log4j-core-Versionen <=2.15.0 betroffen sind, aber nicht 2.16.0. 

Sonatype-2021-4517 oder auch bekannt als CVE-2021-42550 (mittelschwer):

Ähnlich wie CVE-2021-4104, wirkt sich jedoch auf „logback-classic“ und „logback-core“ aus, da Logback auf log4j 1.x basiert. Die Sonatype-ID basiert auf diesem Thema: https://jira.qos.ch/browse/LOGBACK-1591 

Sonatype-2021-4560 (hoch):

Betrifft log4j-Versionen 2.x bis einschließlich 2.15.0. Die gefixte Version ist 2.16.0. Die Schwachstelle basiert auf dem Blog von Praetorian. In dieser Nachrichtenmeldung sind weitere Informationen zusammengefasst. Derzeit im Fast-Track-Verfahren, da die vollständige Offenlegung von Apache aussteht. Weitere Einzelheiten werden zu gegebener Zeit bekannt gegeben.

Sonatype-2021-4560 (hoch):

Betrifft log4j-Versionen 2.x bis einschließlich 2.15.0. Die gefixte Version ist 2.16.0. Die Schwachstelle basiert auf dem Blog von Praetorian. In dieser Nachrichtenmeldung sind weitere Informationen zusammengefasst. Derzeit im Fast-Track-Verfahren, da die vollständige Offenlegung von Apache aussteht. Weitere Einzelheiten werden zu gegebener Zeit bekannt gegeben.

„Das ist so, als ob jemand herausfindet, dass er mit einem Brief, den er in Ihren Briefkasten wirft und auf dem eine bestimmte Adresse steht, alle Türen in Ihrem Haus öffnen kann.“

—Brian Fox, CTO von Sonatype, auf BBC

Ressourcen aus dem Umfeld der Software-Community

Die Log4shell-CVE von Mitre
Die Log4j-Seite der Apache Foundation mit Einzelheiten
Die Log4shell-CVE von Mitre
Die Log4j-Seite der Apache Foundation mit Einzelheiten
Vom Netherlands National Cybersecurity Center zusammengestellte Liste der betroffenen Software
Gartner-Artikel für Führungskräfte im Bereich Sicherheit
Vom Netherlands National Cybersecurity Center zusammengestellte Liste der betroffenen Software
Gartner-Artikel für Führungskräfte im Bereich Sicherheit

Bereit, Sonatype auszuprobieren?

Schützen und automatisieren Sie Ihre Software-Supply-Chain.

Kontaktieren Sie uns noch heute
Twitter LinkedIn Facebook YouTube GitHub
Produkte
KOSTENLOSE TOOLS
Lösungen
Ressourcen
Kundenportal
Company
SON_logo_white@2x copy trimmed

Sonatype Headquarters - 8161 Maple Lawn Blvd #250, Fulton, MD 20759

Tysons Office - 8281 Greensboro Drive – Suite 630, McLean, VA 22102

Australia Office - 60 Martin Place Level 1, Sydney, NSW 2000, Australia

London Office -168 Shoreditch High Street, E1 6HU London

Copyright © 2008–heute, Sonatype Inc. Alle Rechte vorbehalten. Schließt hier aufgeführten Drittanbietercode ein. Sonatype und Sonatype Nexus sind Warenzeichen von Sonatype, Inc. Apache Maven und Maven sind Warenzeichen der Apache Software Foundation. M2Eclipse ist ein Warenzeichen der Eclipse Foundation. Alle anderen Warenzeichen sind Eigentum der jeweiligen Inhaber.

Nutzungsbedingungen    Datenschutzrichtlinie    Event Terms and Conditions