Kritische Schwachstelle in log4j veröffentlicht (CVE-2021-44228) im Kontext der Produkte von Baral

Folgende Informationen stammen aus einem Newsletter der Firma Baral vom 15.12.2021

https://www.baral-geohaus.de/content/wichtiger-sicherheitshinweis-zu-log4shell-update

mittlerweile ist Log4j2.16.0 im Umlauf. Folgende Infos dazu:

• Der Einsatz von Log4j 2.15.0 ist für WebGEN und WebNAV ausreichend, da wir die Konfiguration, unter welchen 2.15.0 nicht vollständig die Lücke schließt, nicht verwenden.
• Log4j 2.16.0 kann problemlos mit WebGEN und WebNAV (inkl. SOLR) verwendet werden

Folgende Informationen stammen aus einem Newsletter der Firma Baral vom 13.12.2021

https://www.baral-geohaus.de/content/wichtiger-sicherheitshinweis-zu-log4shell/

Dieser Benachrichtigung enthält wichtige Informationen und Handlungsanweisungen zu BARAL Software und der kritischen Schwachstelle in log4j2
Auch bekannt als CVE-2021-44228, Log4Shell
BARAL setzt bei einigen seiner Produkte ebenfalls die von der Sicherheitslücke (https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2021/2021-549032-10F2.pdf?__blob=publicationFile&v=6) betroffenen Log4j2-Versionen ein.

Im Folgenden finden Sie eine Übersicht und konkrete Handlungsanweisungen zum Umgang mit den jeweiligen Produkten.

Sollten Unklarheiten oder Zweifel bestehen empfehlen wir die Anwendung (insbesondere Anwendungen, die im Internet stehen) vom Netz zu nehmen.

Folgende Anwendung sind betroffen:

• Web GEN
• Web NAV  (ab >= 15.0)
• SOLR

Handlungsanweisung für Web GEN und Web NAV:

Laden Sie die aktuellen Log4J Bibliotheken herunter https://portal.baral-geohaus.de/public/software/Log4J_2.15.0.zip

• Stoppen Sie den Tomcat
• Ersetzen Sie jeweils in WEB-INF/lib  die log4j-api-2.XX.XX.jar, log4j-core-2.XX.XX.jar durch die Dateien im Download
• Starten Sie den Tomcat neu

Handlungsanweisung für SOLR:

SOLR ist eine Thrid-Party-Anwendung die im Zusammenhang mit Web NAV zum Einsatz kommt. Zur Absicherung gehen Sie wie folgt vor:

• Laden Sie die aktuellen Log4J Bibliotheken herunter https://portal.baral-geohaus.de/public/software/Log4J_2.15.0_SOLR.zip
• Stoppen Sie den SOLR
• Ersetzen Sie jeweils in  
  • \contrib\prometheus-exporter\lib\   
  • \server\lib\ext\
• die log4j-api-2.XX.XX.jar, log4j-core-2.XX.XX.jar, log4j-1.2-api-2.XX.XX.jar und log4j-slf4j-impl-2.XX.XX.jar durch die Dateien im Download
• Starten Sie den SOLR neu

Bei Fragen oder Problemen wenden Sie sich an Ihren Kundenbetreuer

Folgende Anwendungen sind nicht betroffen enthalten aber die entsprechende Bibliothek:

• UTJSC – UT JavaScript Client

Handlungsempfehlung

• Stoppen Sie den Tomcat
• Löschen Sie jeweils in WEB-INF/lib die log4j-api-2.XX.XX.jar, log4j-core-2.XX.XX.jar 
• Starten Sie den Tomcat neu

Folgende Anwendungen sind nicht betroffen: 

• Access Filter
• APAK – Automatisierte Bauauskunft
• BARAL StreetSmart PlugIn
• Web CODI

Bitte beachten Sie, dass auch die im Zusammenhang mit unserer Software verwendete ESRI-Software vom Problem betroffen sein kann: https://www.esri.com/arcgis-blog/products/arcgis-enterprise/administration/arcgis-software-and-cve-2021-44228-aka-log4shell-aka-logjam/

ESRI schreibt darin, dass ArcGIS Enterprise-/ArcGIS Server-Versionen < 10.8 vom Problem betroffen sind.