Wir haben diesen Fall geschlossen, da von unserer Seite alle notwendigen Schritte unternommen wurden und in der Zwischenzeit keine relevanten Neuigkeiten zu CVE-2021-44228 und CVE-2021-45046 bekannt wurden.
Posted Dec 28, 2021 - 13:54 CET
Update
Sehr geehrte Damen und Herren,
mit diesem Update möchten wir Sie über den aktuellen Stand informieren.
Der Hersteller der Drittanbietersoftware hat in der Zwischenzeit bestätigt, dass diese Software unter bestimmten Voraussetzungen anfällig gewesen wäre. Da wir bereits am Wochenende, zeitnah nach bekannt werden der Lücke, unsere Systeme nach den Empfehlungen angepasst und mitigiert haben, ist keine Gefahr davon ausgegangen. Weitere Verbesserungen & Anpassungen erfolgten während dieser Woche, auch basierend auf den Neuigkeiten des BSI.
Des weiteren möchten wir an dieser Stelle erwähnen, dass bei uns professionelle IPS, WAF sowie Firewall-Lösungen eingesetzt werden. Auch die Hersteller dieser Lösungen haben bereits am Wochenende entsprechende Updates zur besseren Erkennung veröffentlicht.
Durch diese Kombination können wir Ihnen maximale Sicherheit auf allen Layern gewährleisten.
Mit freundlichen Grüßen,
Your Secure Cloud GmbH
Posted Dec 17, 2021 - 13:17 CET
Monitoring
Sehr geehrte Damen und Herren,
alle restlichen Systeme sind mit Stand des 13.12.2021 um 20 Uhr mit dem Patch versehen worden.
Wir warten weiterhin auf eine finale Rückmeldung des Herstellers der Drittanbietersoftware, ob eine Ausnutzung der Lücke überhaupt möglich gewesen wäre. Durch die proaktive Mitigation durch uns besteht / bestand in beiden Fällen keine weitere Gefahr.
Bei weiteren Neuigkeiten werden wir Sie auf dieser Seite informieren.
Mit freundlichen Grüßen,
Your Secure Cloud GmbH
Posted Dec 13, 2021 - 20:55 CET
Identified
Sehr geehrte Damen und Herren,
wie Sie vielleicht bereits in den Medien mitbekommen haben, ist vor kurzem eine Sicherheitslücke namens Log4j (CVE-2021-44228) bekannt geworden.
Wir möchten Sie hiermit darüber informieren, dass unsere Applikation selbst nicht von Log4j betroffen ist. Dennoch kommt bei einem Teil unserer Software eine Drittanbietersoftware zum Einsatz, welche von dem Problem betroffen sein könnte. Hier warten wir derzeit noch auf eine finale Rückmeldung des Herstellers. Erste Tests von uns zeigen jedoch, dass eine Ausnutzung der Lücke in unserem Fall nicht möglich ist.
In der Zwischenzeit wurde bereits am Wochenende eine Mitigation von uns proaktiv auf allen Systemen durchgeführt. Bis Ende des heutigen Tages (Montag, 13.12.2021) werden wir alle restlichen Systeme mit diesem Patch versehen.
Gesamt stufen wir die Wahrscheinlichkeit in unserem Fall (unter Berücksichtigung u.a. verwendeter Systeme und Konfigurationen) auf gering ein. Wir werden alle erforderlichen Maßnahmen proaktiv unternehmen, um Sie und Ihre Daten zu schützen.
Bei weiteren Neuigkeiten werden wir Sie auf dieser Seite informieren.
Mit freundlichen Grüßen,
Your Secure Cloud GmbH
DETAILLIERTE INFORMATION:
Log4j ist eine beliebte Protokollierungsbibliothek für Java-Anwendungen. Sie dient der performanten Aggregation von Protokolldaten einer Anwendung. Die Schwachstelle CVE-2021-44228[MIT2021] in log4j in den Versionen 2.0 bis 2.14.1, die es Angreifern gegebenenfalls ermöglicht, auf dem Zielsystem eigenen Programmcode auszuführen und so den Server zu kompromittieren. Diese Gefahr besteht dann, wenn log4j verwendet wird, um eine vom Angreifer kontrollierte Zeichenkette wie Beispielsweise den HTTP User Agent zu protokollieren. Diese kritische Schwachstelle hat demnach möglicherweise Auswirkungen auf alle aus dem Internet erreichbaren Java-Anwendungen, die mithilfe von log4j Teile der Nutzeranfragen protokollieren.
Es sollte entsprechend dem Grundschutzbaustein[BSI2021a] ein Update auf die aktuelle Version 2.15.0 / 2.16.0 [APA2021] (git- tag: 2.15.0-rc2 [GIT2021c]) von log4j in allen Anwendungen sichergestellt werden.
Posted Dec 13, 2021 - 10:16 CET
This incident affected: login.yoursecurecloud.de (Synchronisation via Client, Weboberfläche, E-Mail Benachrichtigungen, Online-Office, Dateisuche), login2.yoursecurecloud.de (Synchronisation via Client, Weboberfläche, E-Mail Benachrichtigungen, Online-Office, Dateisuche), and Your Secure Cloud Website.