[OT] Log4j - klice od pulky internetu

[Dodo Racek]

Ano, ak mate iba Apache a nemate nainstalovanu Javu a Log4j, tak OK.
Ale ono to nie je iba httpd Log4j  v Apache v ponimani dedikovany WEB
server.Tieto prvky su integrovane do mnozstva produktov mnozstva SW
vyrobcov...
Aj vyrobcov HW, ktorych vyrobky pouzivaju WEB rozhranie na spravu, alebo
komunikaciu medzi zariadeniami, alebo SW komponentami v jednom zariadeni.

Namatkovo z oblasti VMware zoznam produktov s problemom:
*1. Impacted Products (Under Evaluation)*

   - VMware Horizon
   - VMware vCenter Server
   - VMware HCX
   - VMware NSX-T Data Center
   - VMware Unified Access Gateway
   - VMware WorkspaceOne Access
   - VMware Identity Manager
   - VMware vRealize Operations
   - VMware vRealize Operations Cloud Proxy
   - VMware vRealize Automation
   - VMware vRealize Lifecycle Manager
   - VMware Site Recovery Manager, vSphere Replication
   - VMware Carbon Black Cloud Workload Appliance
   - VMware Carbon Black EDR Server
   - VMware Tanzu GemFire
   - VMware Tanzu Greenplum
   - VMware Tanzu Operations Manager
   - VMware Tanzu Application Service for VMs
   - VMware Tanzu Kubernetes Grid Integrated Edition
   - VMware Tanzu Observability by Wavefront Nozzle
   - Healthwatch for Tanzu Application Service
   - Spring Cloud Services for VMware Tanzu
   - Spring Cloud Gateway for VMware Tanzu
   - Spring Cloud Gateway for Kubernetes
   - API Portal for VMware Tanzu
   - Single Sign-On for VMware Tanzu Application Service
   - App Metrics
   - VMware vCenter Cloud Gateway
   - VMware vRealize Orchestrator
   - VMware Cloud Foundation
   - VMware Workspace ONE Access Connector
   - VMware Horizon DaaS
   - VMware Horizon Cloud Connector
   - VMware NSX Data Center for vSphere
   - VMware AppDefense Appliance
   - VMware Cloud Director Object Storage Extension
   - VMware Telco Cloud Operations
   - VMware vRealize Log Insight
   - VMware Tanzu Scheduler
   - VMware Smart Assurance NCM
   - VMware Smart Assurance SAM [Service Assurance Manager]
   - VMware Integrated OpenStack
   - VMware vRealize Business for Cloud
   - VMware vRealize Network Insight


st 15. 12. 2021 o 16:45 Jindroush <jindroush na seznam.cz> napísal(a):

> Mirne upresneni v mezich zakona:
>
> Apache je dnes nadace, ktera zastresuje radu ruznych projektu.
>
> Kdysi se pojmem Apache oznacoval prevazne jejich httpd server.
>
> Chyba se tyka javove knihovny Log4j vyvijene Apache. Chyba se netyka
> weboveho httpd serveru.
> Takze pokud je soucasti neceho Apache httpd, nemelo by se ho to varovani
> tykat, ne?
>
> J.
>
> On 15.12.2021 16:39, Josef Zeman wrote:
> > Dobrý den
> >
> > Díky za informaci. O den předběhla naše security, takže když poslali
> > varování, tak jsem mohl obratem odpovědět, že na mých strojích je už
> > hotovo. Dodavatel jednoho "postiženého" systému odpověděl, že nová
> > verze, která problém odstraní, bude v prvním čtvrtletí :-) Jeho
> > součástí je Apache. Update knihovny na 2.16.0 nic nerozbil.
> >
> > Zeman
> >
> >> Trochu si zaspamuju, ale je to opravdu prusvih.
> >>
> >> Pravdepodobne jste o tom uz  slyseli - jedna se o problem v apache
> >> knihovne ktera se pouziva skoro vsude kde je java a potrebujete
> >> logovat.
> >>
> >> Popis problem treba tady
> >>
> >> https://www.wired.com/story/log4j-flaw-hacking-internet/
> >>
> >> Je potreba si uvedomit, ze je to opravdu skoro vsude a nase firewally
> >> zachycuji aktivni pouzivani techto exploit. Jinak bych sem nepsal.
> >> Sam jsem doma upravoval kde co pocinaje minecraftem (i klient) a
> >> konce domaci automatizaci
> >>
> >> Oprav existuje nekolik - dat posledni verzi  pridat java parametr
> >> -Dlog4j2.formatMsgNoLookups=true pripadne se da kuchnout jarko a
> >> udelat tam vymenu classy
> >>
> >> J.V.
> >>
> > _______________________________________________
> > HW-list mailing list  -  sponsored by www.HW.cz
> > Hw-list na list.hw.cz
> > http://list.hw.cz/mailman/listinfo/hw-list
>
>
> --
> Jindroush <jindroush na seznam.cz>
>
> _______________________________________________
> HW-list mailing list  -  sponsored by www.HW.cz
> Hw-list na list.hw.cz
> http://list.hw.cz/mailman/listinfo/hw-list
>
------------- další část ---------------
HTML příloha byla odstraněna...
URL: <http://list.hw.cz/pipermail/hw-list/attachments/20211215/3ebdb50c/attachment.htm>