foo_1337 schrieb:
@fdsonne Es ging bei den Beispielen darum, dass eben viele tomcat servelets l4j nutzen, auch wenn es nicht der default ist. Das ist auch bei jira und confluence der Fall, auch wenn es bei denen Version 1.x ist. Bitbucket z.B. nutzt 2.x. Bei vmware meinte ich den vcd, der auch tomcat mit log4j (auch 1.x) nutzt.
Du, mir ist das bewusst, aber es wäre meiner Ansicht nach hilfreich die entsprechenden "Kinder" auch direkt beim Namen zu nennen. Vor allem wenn du dann weiter oben mit der Aussage kommst, dass dich Leute nerven, die einfach reinplatzen und meinen, dem zeig ichs jetzt... Wie in
#127 beschreiben. Deine Aussagen sind halt in Teilen "angreifbar", weil sie eben sagen wir, missverständlich und in Teilen eben Interpretierbar sind. Dann hört das nämlich wahrscheinlich auch auf, dass da wer meint, das wäre alles falsch und man muss seinen Senf zu geben, weil wer das eben anders interpretiert.
Als konkretes Beispiel. Erst sagst du VMware, auf meine Nachfrage jetzt vCD. Der vCD Storage Extension ist halt trotzdem betroffen und wurde per Patch gefixt und vorher per Workaround umgangen.
Bei Atlassian ähnlich. Atlassian schreibt, der Bitbucket Server und die Datacenter Version dessen ist betroffen. Der Rest nutzt nen 1.2er Fork ist wäre nur betroffen von der 44228er Geschichte, wenn man die Settings manuell entsprechend verbiegt. Sowas taugt halt meiner Ansicht nach als gewichtiges Beispiel für ein Gegenargument nicht, wenn es dann wieder nur auf einen kleinen Teil zutrifft. Kein anderes Atlassian Produkt außer besagtem Bitbucket ist für 44228 anfällig, sofern ich das richtig sehe... Du/ihr kamt ja argumentativ davon, dass oben wer permanent meinte, dass seine Kunden das nicht haben das Problem - in so manchem Beispiel, trotz das da Log4J drin ist, ists halt dennoch zumindest in der Form dann doch nicht so wirklich ein Problem. Das hättet ihr euch komplett ersparen können mit der Diskussion, wenn ihr da konkret geworden wärt und nicht um den heißen Brei (Argumenten mit Herstellern oder Gruppen von irgendwas) gesprochen hättet
Aber das ist nur meine Ansicht - deinen Standpunkt unterschreibe ich zumindest bis auf das Detail quasi vollständig
Moep89 schrieb:
Na klar,
ich liste erstmal alle Software, Apps, Pakete etc. pp. auf, die ich irgendwo auf irgendwelchen Geräten im ganzen Haus habe und versuche dann deren Hersteller zu erreichen
Von daher fehlt mir auch ganz klar die Antwort: "Keine Ahnung, sagt Ihrs mir"
Auch wenn du es nicht hören willst - exakt das wäre das sinnigste. Privat wird dir keiner die Arbeit abnehmen. Das Motto ist da jetzt eher, entweder du vertraust auf Andere, die dir sagen was Phase ist oder du guckst selbst. Da aber Niemand garantiert weis, was du nutzt, welche Software, welche Hardware, ... -> da gibts quasi nur eine Antwort
Es gibt ein paar durchaus brauchbarer Github Projekte mit kleinen Scripten oder Tools, die den Spaß "suchen". Zumindest PCs und Geräte mit Zugriff auf das Filesystem bekommst du damit halbwegs verlässlich gescannt. Der Rest wird um längen schwieriger. Aber im Zweifel muss man halt einfach schauen. Wenn ich alles abziehe wo ich direkt oder indirekt Zugriff auf das Filesystem habe, bleibt nicht mehr soooo viel übrig. Das kann ich meiner Ansicht nach durchaus dann manuell über Herstelleranfragen bzw. Security Advisory Suche im Netz analysieren.
Ich für meinen Teil mache mir bei sowas halt viel eher Sorgen um den ganzen IoT Blödsinn. Irgendwelche Gerätschaften, die irgendwo in der Ecke liegen und irgendwas machen, Softwarestände von Anno Knips und wegen genau solchen Lücken Tür und Tor in interne Netze auf machen...
