Thema "Betreff: log4shell / cve-2021-44228- - log4j zero day exploit: Auswirkungen auf Router?" in Geräte

log4shell / cve-2021-44228- - log4j zero day exploit: Auswirkungen auf Router?

plitschplatsch — Sun, 12 Dec 2021 22:28:59 GMT

Hallo,

mir geht's um die Gerätesicherheit aufgrund des log4j zero day exploit [1].
Wurden zu den Modellen, die Vodafone standardmäßig ausgeliefert hat, ausliefert und ausliefern wird (z.B.: [2]), schon Kontrollen durchgeführt? Wird dort in irgendeiner Form log4j genutzt in Versionen unter 2.15.?
Sonst wäre hier doch ein massiver Patch per Firmwareupdate vonnöten oder?

Bei größeren Auflistungen von Fällen bin ich bisher noch nicht fündig geworden. [3]
Bei Cisco alleine wurden schon einige Schwachstellen gefunden. [4]

Viele Grüße
[1]: https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2021/2021-549032-10F2.html?nn=520690

[2]: https://www.vodafone.de/dsl/modem.html

[3]: https://gist.github.com/SwitHak/b66db3a06c2955a9cb71a8718970c592, https://www.techsolvency.com/story-so-far/cve-2021-44228-log4j-log4shell/#affected-products
[4]: https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-apache-log4j-qRuKNEbd

Betreff: log4shell / cve-2021-44228- - log4j zero day exploit: Auswirkungen auf Router?

reneromann — Sun, 12 Dec 2021 22:46:07 GMT

Vodafone selbst kann da nicht viel kontrollieren - weil Vodafone selbst keine Firmware herstellt.

Für die Firmware (und damit auch für die Prüfungen auf solche Exploits) sind die Hersteller der Geräte verantwortlich, also z.B. Arris, Technicolor oder AVM.

Mich würde es jedoch eher verwundern, wenn man auf Embedded Systemen sich den performancemäßigen Overhead von Java aufhalsen würde - meist kommen dann dort doch eher Apache2 + PHP/Perl/Python zum Einsatz.

Und ja, wenn dort Produkte betroffen wären, könnte(!) ein Firmwareupdate notwendig sein. Wobei hier wiederum nur diejenigen Produkte (direkt) betroffen sind, die im Internet von außen erreichbar sind.

Betreff: log4shell / cve-2021-44228- - log4j zero day exploit: Auswirkungen auf Router?

RuffyDotOne — Mon, 13 Dec 2021 22:09:28 GMT

Apache ist von log4j betroffen.

Betreff: log4shell / cve-2021-44228- - log4j zero day exploit: Auswirkungen auf Router?

reneromann — Tue, 14 Dec 2021 00:42:13 GMT

@RuffyDotOne schrieb:

Apache ist von log4j betroffen.

Nein, Apache2 (der Webserver) ist NICHT von der Sicherheitslücke betroffen, weil Apache2 nicht auf Java basiert und daher auch -in der Standardinstallation- keine Java-Plugins lädt. Wenn bedarf es hier entsprechender Zusatzplugins, die aktiv vom jeweiligen SysAdmin zum Hosting von Websites hinzukonfiguriert wurden - ähnlich wie PHP in der Standardinstallation von Apache2 ebenfalls nicht enthalten ist und separat installiert und konfiguriert werden muss.

Wenn ist Apache Tomcat betroffen - da Tomcat Java nutzt und anders als Apache2 nicht nativ kompiliert ist.

Betreff: log4shell / cve-2021-44228- - log4j zero day exploit: Auswirkungen auf Router?

ervau — Tue, 14 Dec 2021 11:50:19 GMT

@reneromann

Hallo,

Deine Aussage erstaunt mich denn doch etwas.

Wenn VF keine FW "herstellt", warum ist dann auf den Kisten keine original Arris-, Technicolor-, AVM-FW drauf, sondern so eine verbogene, kastrierte FW, die sich dann auch noch zwischen ehemals KBW/ UM-Land und dem Rest der Welt in ihren Features unterscheidet?!

Gruß ervau

Betreff: log4shell / cve-2021-44228- - log4j zero day exploit: Auswirkungen auf Router?

reneromann — Tue, 14 Dec 2021 12:19:47 GMT

@ervau schrieb:

Hallo,

Deine Aussage erstaunt mich denn doch etwas.

Eher erstaunt mich deine Aussage, da du offenbar den Unterschied zwischen Retail-Firmware und OEM-Firmware nicht begriffen hast.

@ervau schrieb:

Wenn VF keine FW "herstellt", warum ist dann auf den Kisten keine original Arris-, Technicolor-, AVM-FW drauf, sondern so eine verbogene, kastrierte FW, die sich dann auch noch zwischen ehemals KBW/ UM-Land und dem Rest der Welt in ihren Features unterscheidet?!

Die Firmware, die auf den Geräten ist, ist eine Original-Firmware des jeweiligen Herstellers - es ist nur nicht die Firmware der Retail-Versionen, sondern eine vom jeweiligen Hersteller für Vodafone angepasste Firmware.

Vodafone selbst programmiert da nichts, sondern schreibt den Herstellern vor, was in der bereitzustellenden (OEM-)Firmware enthalten sein darf/kann/muss und was nicht. Der Hersteller der Geräte liefert dann diese (angepasste) Original-Firmware an Vodafone aus.

Betreff: log4shell / cve-2021-44228- - log4j zero day exploit: Auswirkungen auf Router?

RobertP — Tue, 14 Dec 2021 12:19:51 GMT

@ervau schrieb:
Wenn VF keine FW "herstellt", warum ist dann auf den Kisten keine original Arris-, Technicolor-, AVM-FW drauf, sondern so eine verbogene, kastrierte FW, die sich dann auch noch zwischen ehemals KBW/ UM-Land und dem Rest der Welt in ihren Features unterscheidet?!

die Firmware wird von Hersteller für Vodafone angepasst

Betreff: log4shell / cve-2021-44228- - log4j zero day exploit: Auswirkungen auf Router?

ervau — Tue, 14 Dec 2021 12:55:29 GMT

So What!

VF macht das Lastenheft, akzeptiert das Pflichtenheft des Lieferanten und steht damit in der Verantwortung mir gegenüber als mein Vertragspartner.

Gruß ervau

Betreff: log4shell / cve-2021-44228- - log4j zero day exploit: Auswirkungen auf Router?

reneromann — Tue, 14 Dec 2021 13:22:54 GMT

@ervau schrieb:

So What!

VF macht das Lastenheft, akzeptiert das Pflichtenheft des Lieferanten und steht damit in der Verantwortung mir gegenüber als mein Vertragspartner.

Hä? Wo ist dein Problem?

VF ist als Vermieter/Verleiher eh dein einziger Ansprechpartner - darum ging's aber gar nicht.

VF kann jedoch schlichtweg keine Aussage darüber geben, was der Lieferant an Teilen in die Firmware verwendet oder nicht verwendet hat - hier kann alleinig der Hersteller Auskunft geben.

Betreff: log4shell / cve-2021-44228- - log4j zero day exploit: Auswirkungen auf Router?

ervau — Tue, 14 Dec 2021 13:36:23 GMT

... und VF weiß auch nicht was unter "Status & Hilfe - Über" in der VF-Station zumindest zu open source seitenlang aufgeführt ist.

Ich klinke mich hier aus.

Gruß ervau

Betreff: log4shell / cve-2021-44228- - log4j zero day exploit: Auswirkungen auf Router?

reneromann — Tue, 14 Dec 2021 13:58:10 GMT

@ervau schrieb:

... und VF weiß auch nicht was unter "Status & Hilfe - Über" in der VF-Station zumindest zu open source seitenlang aufgeführt ist.

Offenbar hast du dir selbst nicht durchgelesen, was dort steht.

Dort steht keine Paketauflistung, sondern "nur" die entsprechenden Lizenzen, unter denen die OpenSource-Software verwendet wird. Und selbst wenn eines der Pakete log4j einsetzen würde, würde es dort nicht als solches aufgeführt werden.

@ervau schrieb:

Ich klinke mich hier aus.

Vielleicht auch besser so, wenn man keine Ahnung hat.

Betreff: log4shell / cve-2021-44228- - log4j zero day exploit: Auswirkungen auf Router?

FamBitsch1 — Tue, 14 Dec 2021 14:10:26 GMT

Wenn von Vodafone nur das Modem kommt und von mir der Router, hab ich das Problem doch im Griff.

Meine Router-SW benutzt kein Java, damit bin ich aus dem Schneider.

So einfach seh ich das.

Im Falle der üblichen Vodafone-Router mit eingebautem Modem, sollte sich Vodafone schleunigst um dieses Problem kümmern!

Am besten bzgl. Java endgültig. Java hat auf einem Accessgerät nichts verloren.

Betreff: log4shell / cve-2021-44228- - log4j zero day exploit: Auswirkungen auf Router?

RobertP — Tue, 14 Dec 2021 14:26:13 GMT

@FamBitsch1 schrieb:
Im Falle der üblichen Vodafone-Router mit eingebautem Modem, sollte sich Vodafone schleunigst um dieses Problem kümmern!
Am besten bzgl. Java endgültig. Java hat auf einem Accessgerät nichts verloren.

und wer hat gesagt, dass Log4j oder andere Java Komponenten auf den Vodafone Routern verwendet werden?

Betreff: log4shell / cve-2021-44228- - log4j zero day exploit: Auswirkungen auf Router?

FamBitsch1 — Tue, 14 Dec 2021 14:41:21 GMT

Es hat bisher auch niemand gesagt, daß es nicht verwendet wird. 😉