Security Advisory Liberyse

Allgemeine Information

Die kritische Sicherheitslücke "Log4Shell" wurde in Apache Log4j öffentlich bekannt (CVE-2021-44228) und könnte remote code execution (RCE) in betroffenen SVA Produkten erlauben.

Dies ist eine sich entwickelnde Lage, bitte prüfen sie regelmäßig dieses Security-Advisory.

Problembeschreibung

Ein Angreifer kann die Schwachstelle ausnutzen, um Schadsoftware aus dem Internet zu laden.

Bekannte Angriffsvektoren

Ein Angreifer kann Schadsoftware aus dem Internet laden, um Systeme und Anwendungen zu kompromittieren und Zugriff zu erlangen.

Problemlösung

Problemlösungen für CVE-2021-44228 für betroffene Kompenenten des Produkts finden sin in folgender Aufstellung:

Problemumgehungen

Problemumgehungen für CVE-2021-44228 für betroffene Kompenenten des Produkts finden sin in folgender Aufstellung:

Es muss die Umgebungsvariable "LOG4J_FORMAT_MSG_NO_LOOKUPS=true" gesetzt werden.
Alternativ kann auch der Java-Parameter "-Dlog4j2.formatMsgNoLookups=True” gesetzt werden.

Archivierungskette:

Für den Aufruf kann der Parameter wie folgt gesetzt werden:

java -Dlog4j2.formatMsgNoLookups=True -jar archivierungskette.jar ...

Content Server Client:

Für den Aufruf kann der Parameter wie folgt gesetzt werden:

java -Dlog4j2.formatMsgNoLookups=True -jar ccsclient.jar ...

SVA Liberyse WebApp (Classic) / SVA Content Server:

Bei diesen Produkten handelt es sich um Java Webanwendungen welche im Context von Apache Tomcat laufen.

Für Windows sollte der Parameter entsprechend in der Service-Konfiguration eingestellt werden (siehe Screenshot).

Unter Linux kann der Parameter in der 'setenv.sh' Datei gesetzt werden:

export JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=True ..."

SVA Liberyse DeepSearch:

Die Anwendung wird als Windows Service ausgeführt.

Die Service-Konfiguration (liberyse64.xml) kann wie folgt angepasst werden:

<service>
    <id>Liberyse</id>
    <name>Liberyse</name>
    <description>Liberyse Service.</description>
    <env name="LIBERYSE_WEBAPP_HOME" value="C:\liberyse\webapp"/>
    <executable>java</executable>
    <arguments>-Dlog4j2.formatMsgNoLookups=true -Xmx4096m -jar "%LIBERYSE_WEBAPP_HOME%\libs\liberyse-1.4.25.jar"</arguments>
    <logmode>rotate</logmode>
</service>

Änderungshistorie