{"id":4668,"date":"2021-12-13T16:48:49","date_gmt":"2021-12-13T15:48:49","guid":{"rendered":"https:\/\/www.j-lawyer.org\/?p=4668"},"modified":"2021-12-13T22:04:53","modified_gmt":"2021-12-13T21:04:53","slug":"sicherheitsluecke-log4shell-und-j-lawyer-org","status":"publish","type":"post","link":"https:\/\/www.j-lawyer.org\/?p=4668","title":{"rendered":"Sicherheitsl\u00fccke &#8222;Log4Shell&#8220; und j-lawyer.org"},"content":{"rendered":"\n<p>Vor Kurzem wurde eine kritische Sicherheitsl\u00fccke in einer weit verbreiteten Programmbibliothek entdeckt, von der sehr viele Anwendungen betroffen sind &#8211; so bspw. auch das beA. F\u00fcr Details gern den <a href=\"https:\/\/www.bsi.bund.de\/DE\/Service-Navi\/Presse\/Alle-Meldungen-News\/Meldungen\/Schwachstelle_Log4j_211210.html\" target=\"_blank\" rel=\"noreferrer noopener\">Hinweis des BSI<\/a> sowie unsere Beitr\u00e4ge auf Twitter \u00fcberfliegen:<\/p>\n\n\n\n<p>Analyse der Clientsecurity vom 10. Dezember:<\/p>\n\n\n\n<figure class=\"wp-block-embed is-type-rich is-provider-twitter wp-block-embed-twitter\"><div class=\"wp-block-embed__wrapper\">\n<blockquote class=\"twitter-tweet\" data-width=\"550\" data-dnt=\"true\"><p lang=\"de\" dir=\"ltr\">Da ich hier einige Tweets bzgl. einer Sicherheitsl\u00fccke (CVE-2021-44228) lese, die auch die <a href=\"https:\/\/twitter.com\/hashtag\/beA?src=hash&amp;ref_src=twsrc%5Etfw\">#beA<\/a> Clientsecurity betreffen k\u00f6nnte, m\u00f6chte ich kurz meine Gedanken dazu teilen: ein Thread (1\/n)<\/p>&mdash; j-lawyer.org &#8211; Kanzleisoftware, Open Source (@jlawyerorg) <a href=\"https:\/\/twitter.com\/jlawyerorg\/status\/1469422394867658758?ref_src=twsrc%5Etfw\">December 10, 2021<\/a><\/blockquote><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script>\n<\/div><figcaption>Analyse der \u00c4nderungen, welche die BRAK \u00fcber&#8217;s Wochenende umgesetzt hat:<\/figcaption><\/figure>\n\n\n\n<figure class=\"wp-block-embed is-type-rich is-provider-twitter wp-block-embed-twitter\"><div class=\"wp-block-embed__wrapper\">\n<blockquote class=\"twitter-tweet\" data-width=\"550\" data-dnt=\"true\"><p lang=\"de\" dir=\"ltr\">Nachdem mein Tweet vom Freitag auf so viel Interesse gesto\u00dfen ist, habe ich eben kurz die neue <a href=\"https:\/\/twitter.com\/hashtag\/beA?src=hash&amp;ref_src=twsrc%5Etfw\">#beA<\/a> Clientsecurity angeschaut. Das Update lief wie gewohnt automatisch (nach Best\u00e4tigung) ab. Was wurde von der BRAK angepasst? (1\/n) <a href=\"https:\/\/t.co\/bkiKa8No9Z\">https:\/\/t.co\/bkiKa8No9Z<\/a><\/p>&mdash; j-lawyer.org &#8211; Kanzleisoftware, Open Source (@jlawyerorg) <a href=\"https:\/\/twitter.com\/jlawyerorg\/status\/1470113648760827917?ref_src=twsrc%5Etfw\">December 12, 2021<\/a><\/blockquote><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script>\n<\/div><figcaption>Auch j-lawyer.org ist &#8222;betroffen&#8220; in dem Sinn, dass die verwundbare Bibliothek vom Client verwendet wird. <\/figcaption><\/figure>\n\n\n\n<p>Die vom j-lawyer.org Client verwendete Javaversion  verhindert jedoch, dass der Fehler zum Tragen kommen \/ ausgenutzt werden kann. Da man in IT-Sicherheitsfragen lieber mit G\u00fcrtel <strong>und<\/strong> Hosentr\u00e4ger unterwegs sein will, gibt es kurzerhand ein Update f\u00fcr den j-lawyer.org Client in Version 2.0.1. Die Downloads sind an \u00fcblicher Stelle zu finden.<\/p>\n\n\n\n<p class=\"has-text-align-center\"><a href=\"https:\/\/www.j-lawyer.org\/?page_id=17\" data-type=\"page\" data-id=\"17\">Zum Downloadportal<\/a><\/p>\n\n\n\n<p>Der Server nutzt die Bibliothek in einer &#8222;abgespeckten&#8220; Variante, welche den angreifbaren Teil nicht enth\u00e4lt. Ebenso greifen auch hier die restriktiveren Einstellungen der verwendeten Javaversion. Wir empfehlen trotz allem t\u00e4tig zu werden.<\/p>\n\n\n\n<p><strong>j-lawyer.BOX:<\/strong><\/p>\n\n\n\n<p>In der Verwaltungsoberfl\u00e4che wird ein Update angeboten, das bitte installieren.<\/p>\n\n\n\n<p><strong>Windows:<\/strong><\/p>\n\n\n\n<p>Datei <strong>j-lawyer-server\\wildfly\\bin\\standalone.conf.bat<\/strong> bearbeiten.<\/p>\n\n\n\n<p>Nach dem Abschnitt<\/p>\n\n\n\n<p><code>rem # Prefer IPv4<br>set \"JAVA_OPTS=%JAVA_OPTS% -Djava.net.preferIPv4Stack=true\"<\/code><\/p>\n\n\n\n<p>eine Leerzeile, gefolgt von diesen beiden Zeilen einf\u00fcgen:<\/p>\n\n\n\n<p><code>rem # log4j2 security measure<br>set \"JAVA_OPTS=%JAVA_OPTS% -Dlog4j2.formatMsgNoLookups=true\"<\/code><\/p>\n\n\n\n<p>Danach den Dienst neu starten.<\/p>\n\n\n\n<p><strong>Linux und macOS:<\/strong><\/p>\n\n\n\n<p>Datei <strong>j-lawyer-server\/wildfly\/bin\/standalone.conf<\/strong> bearbeiten.<\/p>\n\n\n\n<p>Nach dem Abschnitt<\/p>\n\n\n\n<p><code>#Sample JPDA settings for remote socket debugging<\/code><br>#<code>JAVA_OPTS=\"$JAVA_OPTS -agentlib:jdwp=transport=dt_socket,address=8787,server=y,suspend=n\"<\/code><\/p>\n\n\n\n<p>eine Leerzeile, gefolgt von diesen beiden Zeilen einf\u00fcgen:<\/p>\n\n\n\n<p><code># security measure log4j2<br>JAVA_OPTS=\"$JAVA_OPTS -Dlog4j2.formatMsgNoLookups=true\"<\/code><\/p>\n\n\n\n<p>Danach den Dienst neu starten.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Vor Kurzem wurde eine kritische Sicherheitsl\u00fccke in einer weit verbreiteten Programmbibliothek entdeckt, von der sehr viele Anwendungen betroffen sind &#8211; so bspw. auch das beA. F\u00fcr Details gern den Hinweis des BSI sowie unsere Beitr\u00e4ge auf Twitter \u00fcberfliegen: Analyse der Clientsecurity vom 10. Dezember: Die vom j-lawyer.org Client verwendete Javaversion verhindert jedoch, dass der Fehler [&hellip;]<\/p>\n","protected":false},"author":5,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_bbp_topic_count":0,"_bbp_reply_count":0,"_bbp_total_topic_count":0,"_bbp_total_reply_count":0,"_bbp_voice_count":0,"_bbp_anonymous_reply_count":0,"_bbp_topic_count_hidden":0,"_bbp_reply_count_hidden":0,"_bbp_forum_subforum_count":0,"footnotes":""},"categories":[5,341],"tags":[1091,1092,575],"class_list":{"0":"post-4668","1":"post","2":"type-post","3":"status-publish","4":"format-standard","6":"category-project-news","7":"category-tipps-und-tricks","8":"tag-log4j","9":"tag-log4shell","10":"tag-sicherheit","11":"czr-hentry"},"_links":{"self":[{"href":"https:\/\/www.j-lawyer.org\/index.php?rest_route=\/wp\/v2\/posts\/4668","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.j-lawyer.org\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.j-lawyer.org\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.j-lawyer.org\/index.php?rest_route=\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/www.j-lawyer.org\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=4668"}],"version-history":[{"count":4,"href":"https:\/\/www.j-lawyer.org\/index.php?rest_route=\/wp\/v2\/posts\/4668\/revisions"}],"predecessor-version":[{"id":4672,"href":"https:\/\/www.j-lawyer.org\/index.php?rest_route=\/wp\/v2\/posts\/4668\/revisions\/4672"}],"wp:attachment":[{"href":"https:\/\/www.j-lawyer.org\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=4668"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.j-lawyer.org\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=4668"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.j-lawyer.org\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=4668"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}