discussion Kwetsbaarheid Apache Log4j

[Jordan]

Heren,

Wellicht is het sommige van jullie niet ontgaan, maar in Appache Log4j zijn ernstige kwestbaarheden gevonden:

• https://www.ncsc.nl/actueel/nieuws/2021/december/12/kwetsbare-log4j-applicaties-en-te-nemen-stappen
• https://tweakers.net/nieuws/190602/...g4j-2-kan-duizenden-organisaties-treffen.html

Ik was ook nog het volgende artikel tegemoet gekomen m.b.t. Ubiquiti: https://community.ui.com/releases/U...n-6-5-54/d717f241-48bb-4979-8b10-99db36ddabe1

Ik wilde deze informatie toch even graag met jullie delen

 

[Kevin89]

Thnx voor de heads up. Had het inderdaad gelezen.

Hierbij ook de directe link naar de Log4j overview related software op GitHub, hier staan per merk en product de kwetsbaarheden per versie vermeld en of er al een fix is.

Mbt Ubiquiti UniFi Network Application, versie 6.5.54 heeft deze kwetsbaarheden gedicht.

 

[Jordan]

Thnx voor de heads up. Had het inderdaad gelezen.

Hierbij ook de directe link naar de Log4j overview related software op GitHub, hier staan per merk en product de kwetsbaarheden per versie vermeld en of er al een fix is.

Mbt Ubiquiti UniFi Network Application, versie 6.5.54 heeft deze kwetsbaarheden gedicht.

Dat is correct! De link wat ik had gedeeld m.b.t. Ubiquiti, is afkomstig van de link die jij gedeeld hebt van GitHub.

 

[PcRene]

Alles is ge-update gelukkig, vrijdag al…. Actieve aanvallen zijn er zeker.

 

[Polyphemus]

Ik zie al berichten verschijnen dat het gebruikt wordt om coin miners te installeren

 

[Ferry_k]

let op!
Versie 6.5.54 bevat de log4j fix die nog een ander lek bevat.
Versie 6.5.55 is vrij kort daarna uitgekomen (weet niet precies wanneer omdat Ubiquiti ook nog 2 dagen een storing heeft gehad) en zou je moeten hebben draaien om volledig gepatched te zijn.

 

[Reddwarf]

Er spelen verschillende CVE's en in de eerste CVE werd het log4j2 issue wel opgelost maar konden ze een bepaalde payload het logging mechanisme toch weer uitzetten. Dit is li versie 2.16 van log4j2 opgelost en ik neem aan ook in de unifi 6.5.5.

En ja ik weet dat aannames gevaarlijk zijn:

Domein Gereserveerd - Mijndomein.nl

 

[Ferry_k]

Wat mij de meeste zorgen baat is dat Fox-IT een scan-tool heeft uitgebracht om te scannen op de Log4J vulnerability en dat als ik die laat scannen op een server die een unifi 6.5.55 installatie bevat ik alsnog een melding ontvang over de log4j-core-2.16.0.jar

 

[Reddwarf]

Er zijn dus inderdaad verschillende CVE's en de meest critical is opgelost in 2.16.0 maar er zijn er dus ondertussen nog meer gevonden en deze zijn pas opgelost in 2.17.0 (deze hebben de status high)

Apache Logging Services

logging.apache.org

Mijn inziens toch een slecht idee om je controller open aan het internet te hangen.