Groups | Search | Server Info | Keyboard shortcuts | Login | Register [http] [https] [nntp] [nntps]

Groups > ger.ct > #533535

Re: Log4j

From Lothar Kimmeringer <news201705@kimmeringer.de>
Newsgroups ger.ct
Subject Re: Log4j
Date 2021-12-14 20:33 +0100
Organization Organization?! Only chaos here!
Message-ID <q5lkup8a3w3.dlg@kimmeringer.de> (permalink)
References <sp5neb$nd3$1@solani.org> <sp8qdp$1lc$1@dont-email.me> <7dcvxtt9gxzf.dlg@kimmeringer.de> <j1s8amFaa19U5@mid.individual.net>

Show all headers | View raw

Michael Bode wrote:

> Lothar Kimmeringer <news201705@kimmeringer.de> writes:
> 
>> Martin Ebert wrote:
>>
>>> Das wurde eines Tages eingereicht und bereits
>>> einen Tag später von einem Maintainer durchgewunken: Man könnte auf
>>> die Idee kommen, dass da jemand ganz bewusst eine zero-day-Lücke
>>> bastelte und dann dem Code unterschob.
>>
>> Die Luecke ist nur in Kombination mit der passenden Javaversion
>> moeglich, die es fuer eine gute Idee hielt, serialisierte
>> Klassendaten aus unbekannten Quellen gluecklich zu akzeptieren.
> 
> Da ist offenbar jede Javaversion passend.

Diese LDAP-Geschichte soll zumindest ab einem gewissen
Updatelevel (bei Java 8 z.B. 192) nicht mehr funktionieren.

> https://www.heise.de/news/Log4j-2-16-0-verbessert-Schutz-vor-Log4Shell-Luecke-6294053.html
| Auf der anderen Seite haben Sicherheitsforscher Proof-of-Concept-Code
| (PoC) zum Ausnutzen der Schwachstelle verfeinert – Angriffe
| funktionieren damit unabhängig von der Java-Version und bestimmten
| Java-Sicherheitseinstellungen.
| [...]
| Einzige Bedingung sei, dass die vom eingeschleusten serialisierten
| Code genutzten Klassen im Klassenpfad der angegriffenen Anwendung
| liegen müssten.

Das ist dann allerdings eine andere Klasse von Angriff und
verwendet fuer den PoC eine andere Apache-Bibliothek, der
man beim Deserialisieren auszufuehrende Kommandos uebergeben
kann (bzw. konnte, wie ich hoffe, da das schon seit ein paar
Jahren bekannt und hoffentlich von denen gefixed wurde). 

In dem Screenshot im zitierten Tweet wird Java 1.8.0_191
verwendet, also eine Version unter 192. Fuer den Proof, dass
jede Javaversion davon betroffen ist, haette die Verwendung
von 1.8.0_312 nicht geschadet.

> Verlässlichen Schutz bietet daher nur ein
> Update der Log4j-Bibliothek.

Das sowieso.


Gruesse, Lothar
-- 
Lothar Kimmeringer                E-Mail: spamfang@kimmeringer.de
               PGP-encrypted mails preferred (Key-ID: 0x8BC3CD81)

Always remember: The answer is forty-two, there can only be wrong
                 questions!

Back to ger.ct | Previous | Next — Previous in thread | Next in thread | Find similar | Unroll thread

Thread

Log4j Dr. Joachim Neudert <neudert@5sl.org> - 2021-12-12 20:52 +0000
  Re: Log4j Lothar Kimmeringer <news201705@kimmeringer.de> - 2021-12-12 22:05 +0100
    Re: Log4j Ulf Kutzner <Ulf.Kutzner@web.de> - 2022-01-08 07:17 -0800
  Re: Log4j Goetz Schultz <news.expire1225@goetz.co.uk> - 2021-12-12 21:52 +0000
  Re: Log4j Andreas Bockelmann <xotzil@gmx.de> - 2021-12-13 10:30 +0100
    Re: Log4j Markus Luft <01-2021@news.marquee-moon.de> - 2021-12-13 14:03 +0000
    Re: Log4j Lars Gebauer <lgebauer@live.de> - 2021-12-13 16:51 +0100
      Re: Log4j Ulf Kutzner <Ulf.Kutzner@web.de> - 2021-12-13 08:00 -0800
      Re: Log4j Peter Veith <veith@snafu.de> - 2021-12-13 17:02 +0100
        Re: Log4j Christian Schumacher <cs.spam@nurfuerspam.de> - 2021-12-13 16:22 +0000
          Re: Log4j "Dr. Joachim Neudert" <neudert@5sl.org> - 2021-12-13 18:12 +0100
      Re: Log4j Matthias Eißing <meissing@gmx.de> - 2021-12-13 17:32 +0100
        Re: Log4j Gerrit Heitsch <gerrit@laosinh.s.bawue.de> - 2021-12-13 17:35 +0100
          Re: Log4j Ruediger Lahl <ruediger.lahl@gmx.de> - 2021-12-13 17:55 +0100
            Re: Log4j Ulf Kutzner <Ulf.Kutzner@web.de> - 2021-12-13 09:02 -0800
          Re: Log4j Herwig <herwig.huener@t-online.de> - 2021-12-16 16:36 -0800
  Re: Log4j Frank Hucklenbroich <hucklenbroich@gmx.net> - 2021-12-13 10:52 +0100
    Re: Log4j Stefan+Usenet@Froehlich.Priv.at (Stefan Froehlich) - 2021-12-13 10:47 +0000
      Re: Log4j Frank Hucklenbroich <hucklenbroich@gmx.net> - 2021-12-13 14:37 +0100
        Re: Log4j Ulf Kutzner <Ulf.Kutzner@web.de> - 2021-12-13 05:56 -0800
        Re: Log4j Stefan+Usenet@Froehlich.Priv.at (Stefan Froehlich) - 2021-12-13 18:53 +0000
    Re: Log4j Wolfgang Kynast <wky@gmx.de> - 2021-12-14 08:45 +0100
      Re: Log4j "Dr. Joachim Neudert" <neudert@5sl.org> - 2021-12-14 09:03 +0100
        Re: Log4j Wolfgang Kynast <wky@gmx.de> - 2021-12-14 21:08 +0100
          Re: Log4j Dr. Joachim Neudert <neudert@5sl.org> - 2021-12-15 06:14 +0000
      Re: Log4j hc.ahlmann@gmx.de (HC Ahlmann) - 2021-12-14 14:33 +0100
        Re: Log4j Frank Hucklenbroich <hucklenbroich@gmx.net> - 2021-12-14 14:46 +0100
  Re: Log4j Andreas Karrer <ak-1a@gmx.ch> - 2021-12-13 13:33 +0000
    Re: Log4j Martin Ebert <mx300@gmx.net> - 2021-12-14 00:05 +0100
    Re: Log4j Quinn C <lispamateur@crommatograph.info> - 2021-12-13 20:40 -0500
  Re: Log4j Martin Ebert <mx300@gmx.net> - 2021-12-14 02:01 +0100
    Re: Log4j Lothar Kimmeringer <news201705@kimmeringer.de> - 2021-12-14 19:41 +0100
      Re: Log4j Michael Bode <m.g.bode@web.de> - 2021-12-14 20:07 +0100
        Re: Log4j Lothar Kimmeringer <news201705@kimmeringer.de> - 2021-12-14 20:33 +0100
  Re: Log4j "Dr. Joachim Neudert" <neudert@5sl.org> - 2021-12-16 15:01 +0100

csiph-web