Log4j

DENSoffice und DENSonTime sind von der vom Bundesamt für Sicherheit in der Informationstechnologie (BSI) und der gematik gefundenen Sicherheitslücke, verursacht durch Log4j/log4shell Bibliothek (Java), nicht betroffen.

Auch die Programme TeamViewer und Anydesk, welche wir für die Fernwartung benutzen, sind laut Auskunft der betreffenden Firmen unbedenklich.

FAZIT: Zum Glück ist DENS mit den beliebten Produkten DENSoffice und DENS.onTIME nicht von der aktuellen weltweiten Sicherheitslücke betroffen. DENS verwendet kein Java und hat auch die Log4J Bibliothek nicht integriert, sodass diesbezüglich also Entwarnung gegeben werden kann.

Wir wünschen unseren Kunden eine schöne Weihnachtszeit.

 

Informationen zur Schwachstelle:

Log4j ist eine Protokollierungsbibliothek für Java-Anwendungen. Der Exploit enthält eine schwerwiegende Sicherheits-Schwachstelle, die es Angreifern ermöglicht, auf dem Zielsystem eigenen Programmcodes auszuführen. Dies kann zum Beispiel Schadcode sein (Stichwort Erpressung durch Verschlüsselung) oder auch Malware in Form, dass die Rechenleistung des betroffenen PCs  von den Angreifern für das Schürfen von Bitcoins verwendet wird. Der Rechner wird somit langsamer. Die kritische Schwachstelle hat Auswirkungen auf wirklich alle aus dem Internet erreichbaren Java-Anwendungen, die mithilfe von log4j Teile der Nutzeranfragen protokollieren. Eine Liste der bekanntesten betroffenen Programme finden Sie hier.

 

Handlungsanweisungen für Betroffene:

1. Feststellen, ob betroffen oder nicht – z.B. indem man nach der Datei „*log4j*“ im Windos Explorer alle Festplatten und Ordner durchsucht.
2. Falls betroffen, nicht zwingend benötigte Systeme abschalten und die Bibliothek mindestens auf Version 2.15 patchen.

Nachtrag: Neuer Scanner prüft, ob das eigene System bezüglich Log4shell betroffen ist.

Zitat: „Die Sicherheitslücke Log4shell betrifft eine sehr weit verbreitete Java-Bibliothek. Viele Betroffene erfahren erst davon, nachdem sie Opfer eines Angriffs geworden sind. Ein neues Tool soll helfen. Das Bundesamt für Informationstechnik hatte die Sicherheitslücke Log4shell in der Protokollierungsbibliothek Log4j im Dezember als extrem kritische Bedrohungslage bewertet und damit die höchstmögliche Warnstufe gewählt. Die Sicherheitsfirma Sec-Research hat einen kostenlosen Scanner entwickelt, der prüft, ob eine Website von dem Problem betroffen ist. Zunächst war die Schwachstelle bei Minecraft-Websites bekannt geworden. Schnell wurde deutlich, dass viele weitere bekannte Dienste wie Steam oder die iCloud betroffen sein dürften – insgesamt sind es laut Cybersicherheitsexperten wohl Millionen von Web-Applikationen. Denn die betroffene Bibliothek ist sehr weit verbreitet. Das neue Tool scannt eine Website, Webapps oder ganze Domains und Subdomains. Alle Unterseiten würden untersucht, heißt es auf der Homepage. So sollen alle möglichen Eintrittsvektoren gefunden werden. Dafür muss man lediglich die URL eingeben und bekommt das Ergebnis des Scans anschließend per Mail.“