News2. Update: Zweite Sicherheitslücke zu Log4j - erweiterte Hilfen und Notfallmaßnahmen Apache Log4j CVE-2021-44228 und CVE 2021-45046 - 15.12.2021 11:00 Uhr

Die Meldungen zu Log4j reißen nicht ab. Ein Kollege hat heute Morgen folgende weitere CVE 2021-45046 entdeckt:
https://www.lunasec.io/docs/blog/log4j-zero-day-update-on-cve-2021-45046/

Laut Meldungen aus ADSM.org und unseren eigenen Recherchen sind wahrscheinlich nur Backup/Archive Client Installationen mit konfiguriertem WebClient und Spectrum Protect for Virtual Environments mit aktivem Web Server (vSphere Plugin) angreifbar.
Deshalb ist der einfachste Workaround: Temporäres Deaktivieren der WebClients und Beenden des TDP4VE Web Servers.

Web Client deaktivieren unter Windows

• Net stop „TSM Client Remote Agent” (Default Configuration) und den Dienst anschliessend auf Manuell stellen.
• https://www.ibm.com/docs/en/spectrum-protect/8.1.12?topic=overview-configuring-web-client-windows-systems

Web Client deaktivieren unter Unix/Linux

• In der dsm.sys die Zeile managedservices webclient schedule ändern auf: Managedservices schedule.
• Und den dsmcad Daemon neu starten. https://www.ibm.com/docs/en/spectrum-protect/8.1.12?topic=wcco-configuring-web-client-aix-linux-mac-solaris-systems

Um den Spectrum Protect for Virtual Environments Web Server zu beenden

• Net stop “IBM Spectrum Protect for Virtual Environments Web Server”
• Oder Net stop IBMVEWebServer

Der Dienst sollte anschliessend auf manuell gestellt werden.

Folgender weiterer Workaround wurde mittlerweile auch auf adsm.org gepostet

Add the last line (-Dlog4j2.formatMsgNoLookups=true) in C:\IBM\SpectrumProtect\webserver\usr\servers\veProfile\jvm.options, so that it looks like this:

-Dlog4j2.formatMsgNoLookups=true

then restart "IBMWebserver".

Dieser Workaround funktioniert für Spectrum Protect Clients der Version 8.1.11 bis 8.1.13!

Allerdings ist aktuell wohl nur ein Update auf Log4j Version 2.16.0 eine permanente Lösung.
Hierzu müssen wir auf eine gefixte Spectrum Protect Client Version von IBM warten.
Wir informieren Sie weiter aktuell zu diesem Thema. Bei Fragen nehmen Sie gern Kontakt zu uns auf.

Ihr Empalis-Team

Hier geht es zum vorigen Artikel dieser News-Serie zum Thema Log4j