Seite 4 von 5 Erste ... 2345 Letzte
  1. #31
    Avatar von DMW007
    Registriert seit
    15.11.2011
    Beiträge
    6.080
    Thanked 9.118 Times in 2.995 Posts
    Blog Entries
    5

    Standard

    Laut derzeitigen Infos "nur" Log4j unter Java, da die Sicherheitslücke in Kombination mit der JVM entsteht und JNDI in den Ports anderer Programmiersprachen nicht zur Verfügung steht. Die CVEs beziehen sich daher auch explizit auf Log4j unter Java. Für die anderen Implementierungen würde es entsprechend eigene CVE-Nummern geben, falls dort ähnliche Fehler entdeckt werden würden.

  2. #32
    Avatar von U-Labs YouTube
    Registriert seit
    30.09.2021
    Beiträge
    1.341
    Thanked 31 Times in 29 Posts

    Standard

    Danke aber geht es noch einfacher? Das ist immer noch zu sehr IT Sprech. Es gibt Leute die nicht viel Ahnung von IT und Technik haben. Danke.



    Kommentar von Liane Li.

  3. #33
    Avatar von DMW007
    Registriert seit
    15.11.2011
    Beiträge
    6.080
    Thanked 9.118 Times in 2.995 Posts
    Blog Entries
    5

    Standard

    Hi,

    klar geht das. Hier wurde bewusst etwas auf die technische Seite geschaut, da unsere Zielgruppe hier ein gewisses Grundwissen und Grundverständnis hat. Einige Administrieren selbst Java-Anwendungen, die entsprechend von der Lücke betroffen sind.

    Für alle die damit wenig zu tun haben, habe ich zusammen mit Hase kürzlich auf unserem Zweitkanal eine weniger technische Erklärung versucht:


  4. #34
    Avatar von U-Labs YouTube
    Registriert seit
    30.09.2021
    Beiträge
    1.341
    Thanked 31 Times in 29 Posts

    Standard

    Naja also erstmal meine Frage: Geht der Code auch für Windows 10 und wie führe ich ihn aus. Ich habe praktisch keine Ahnung vom programmieren bin aber auf das Video gekommen und wollte meinen PC prüfen. Die Frage ist nur wie führe ich diesen Code(Suche nach Log4J) aus und womit. Geht das überhaupt mit Windows? In welcher Sprache muss ich den Code haben, damit ich ihn ausführen kann? Ich glaube man merkt, dass ich nicht viel Ahnung habe. Bisher hab ich Sprache Java genommen weil es logisch erschien und wollte ihn ausführen, dann war Ende...


    Kommentar von Dreiback.

  5. #35
    Avatar von U-Labs YouTube
    Registriert seit
    30.09.2021
    Beiträge
    1.341
    Thanked 31 Times in 29 Posts

    Standard

    Danke für das hervorragend Video! Mein Server ist tatsächlich betroffen inform von Jitsi. Also Jitsi nutzt dieses Modul. Hab heute n' Update gemacht und die Version des Log4J Modules ist jetzt auf dem neusten Patchlevel!

    Aber jetzt meldet sich der hysterische Teil von mir: Woher weiß ich, das nicht schon was passiert ist auf meinem Server? Ja, man sollte meinen, wenn man hostet, dann weiß man auch wie man den Zustand des Systems prüft. Leider habe ich mir so ein Wissen nie angeeignet und da auf dem Server nur triviale Daten von mir liegen auch nicht für nötig gehalten. Jetzt würde ich halt doch gerne n paar Anlaufstellen wissen, die mir lehren, wie man sein System auf unerwünschte Gäste prüft! Haben Sie da einen Favoriten?

    Kommentar von Leon Watermann.

  6. #36
    Avatar von U-Labs YouTube
    Registriert seit
    30.09.2021
    Beiträge
    1.341
    Thanked 31 Times in 29 Posts

    Standard

    Ich selber Code auch viel in Java und habe schon länger festgestellt, dass sich schlicht und einfach um viele OS-Projekte nicht mehr gekümmert wird und dann erst Wochen Später solche Fehler entdeckt / behoben werden bzw. einfach keine Push-Requests angenommen werden :/

    Kommentar von Jannis#6023.

  7. #37
    Avatar von DMW007
    Registriert seit
    15.11.2011
    Beiträge
    6.080
    Thanked 9.118 Times in 2.995 Posts
    Blog Entries
    5

    Standard

    Hi,

    das betrifft nicht nur OS sondern ist ein generelles Problem in der Software-Welt. Der Vorteil bei OS-Projekten ist, dass diese als Fork von anderen aus der Community fortgeführt werden können. Ab einer gewissen Nutzerbasis geschieht das in der Regel auch recht schnell, sofern es nicht bereits Alternativen gibt, auf die sich die Weiterentwicklung konzentriert. Ist natürlich trotzdem schade, weil solche Änderungen ja auch immer eine Ungewissheit mit sich bringen, wie es mit dem Projekt weiter geht. Ich sehe allerdings keine wirklich besseren Alternativen.

    Ich denke, ein Teil der Lösung ist, im Falle von Bibliotheken die Abhängigkeiten kritisch zu hinterfragen und auf ein Minimum zu reduzieren. Das hilft generell dabei, die gesamten Sicherheit zu erhöhen.


    Zitat Zitat von U-Labs YouTube Beitrag anzeigen
    Aber jetzt meldet sich der hysterische Teil von mir: Woher weiß ich, das nicht schon was passiert ist auf meinem Server?
    Danke für dein Feedback! Ohne präventive Maßnahmen kannst du nur das System auf Auffälligkeiten prüfen, etwa unbekannte laufende Prozesse. Dafür braucht es Grundwissen oder du wirst dich einlesen müssen. Letztendlich ist das die Suche nach der Nadel im Heuhaufen: Kann sein sie ist da und man sieht sie nur nicht. Der sicherste Weg ist daher neu installieren, wie auch bei einer erkannten Infektion. Denn selbst wenn du jetzt was findest, woher weißt du, dass das alles war? Die Schadsoftware könnte sich ja irgendwo eine Hintertür platziert haben. Alles andere ist daher eher Pokern, dass man schon Glück haben wird.


    So was kann ziemlich lehrreich sein, wenn man es nutzt, um seine Architektur zu prüfen und zu verbessern: System möglichst schlank halten, eine Übersicht haben was laufen sollte. Ich würde mir auch Containertechnologie wie Docker anschauen. Richtig eingesetzt macht das solche Schwachstellen deutlich entspannter, weil der Container ja ohnehin kurzlebig ist. Heißt: Nach dem Aktualisieren des Images ist Schadsoftware i.d.R. auch weg. Einzig die Daten die man der Anwendung per Volume dauerhaft mountet (und damit eine begrenzte Verbindung zum Host herstellt) können kompromittiert sein. Grade bei Jitsi dürfte das nichts essenzielles sein, höchstens Konfigurationsdateien wo man dann halt sensible Daten wie Zugänge tauscht. Nicht mal der private Schlüssel des SSL-Zertifikat wäre betroffen, wenn es über einen Reverse Proxy außerhalb verwaltet wird.

  8. #38
    Avatar von U-Labs YouTube
    Registriert seit
    30.09.2021
    Beiträge
    1.341
    Thanked 31 Times in 29 Posts

    Standard

    jap, so ist es - dem kann ich nichts hinzufügen

    Kommentar von Jannis#6023.

  9. #39
    Avatar von Cod3r
    Registriert seit
    08.02.2011
    Beiträge
    12
    Thanked 6 Times in 6 Posts

    Standard AW: Schwere Lücke in log4j (CVSS 10/10): Zahlreiche Java-Anwendungen betroffen, u.a. Apple, Steam, T

    Bald ist ein Jahr rum, aber das Problem beschäftigt immer noch. Dieses Mal die Konnektoren, mit denen Arztpraxen ans Gesundheitswesen angebunden werden: 300 solcher Geräte können sich nun nicht mehr verbinden. Die Updates wurden auch nach Monaten nicht eingespielt. Soll nur vor Ort ausnutzbar sein, daher so eine lange Übergangszeit.

  10. #40
    Avatar von U-Labs YouTube
    Registriert seit
    30.09.2021
    Beiträge
    1.341
    Thanked 31 Times in 29 Posts

    Standard AW: Schwere Lücke in log4j (CVSS 10/10): Zahlreiche Java-Anwendungen betroffen, u.a. Apple, Steam, T

    Hey ich hoffe einfach mal das du auch unter die Kommentare von älteren Videos schaust ich möchte Minecraft wieder anfangen sobald ich aber starte habe ich 100% CPU Auslastung und das macht es halt so gut wie unspielbar ich habe mir eine patch Datei für log4j2 heruntergeladen aber keine Ahnung was ich jetzt genau machen muss ich hoffe du kannst mir helfen ^^

    Kommentar von Moonlight .

Seite 4 von 5 Erste ... 2345 Letzte
Diese Seite nutzt Cookies, um das Nutzererlebnis zu verbessern. Klicken Sie hier, um das Cookie-Tracking zu deaktivieren.