Information zur weltweiten Log4J-Sicherheitslücke

News

Derzeit überschlagen sich weltweit die Meldungen zu einer Sicherheitslücke im Umfeld eines Java-Tools namens Log4J. Wir haben selbstverständlich auch sofort überprüft, ob und wie unsere Kunden davon betroffen sein könnten.

Zuerst die gute Nachricht: Wir verwenden Log4J in keinem unserer Consolidate-Programme und unsere Kunden sind daher nicht generell von diesem Problem betroffen.

Eine kleine Unsicherheit gibt es aber: Die Volltext-Suchmaschine von Elastic

Consolidate verwendet für die Funktion "Volltextsuche" das Tool ElasticSearch und alle Kunden, die dieses Modul verwenden sollten überprüfen, ob ein Parameter bei diesem Dienst richtig gesetzt ist.

Es geht um die Datei jvm.options im config-Unterverzeichnis des Elastic-Verzeichnisses (normalerweise C:\Elastic\config).

Hier muss der Parameter -Dlog4j2.formatMsgNoLookups=true im Abschnitt "#log4j 2" gesetzt sein.

Falls es bei Ihnen so aussieht:
# log4j 2
-Dlog4j.shutdownHookEnabled=false
-Dlog4j2.disable.jmx=true
-Dlog4j.skipJansi=true

bitte so eintragen:
# log4j 2
-Dlog4j.shutdownHookEnabled=false
-Dlog4j2.disable.jmx=true
-Dlog4j.skipJansi=true
-Dlog4j2.formatMsgNoLookups=true

Falls das geändert wird, muss anschließend der Elastic-Dienst entfernt und neu installiert werden. 

Das geht sehr einfach mit folgenden Befehlen (im Verzeichnis C:\Elastic\bin):
elasticsearch-service.bat remove

Anschließend den Dienst wieder installieren: 
elasticsearch-service.bat install
 
Elastic Dienst starten:
Führen Sie services.msc aus. Öffnen Sie den Dienst „ElasticSearch 5.…“.
Stellen Sie den Starttyp des Elasticsearch Dienstes auf Automatisch um und klicken Sie auf „Starten“.

Bei Neuinstallationen wird das von uns bereits seit längerem korrekt eingerichtet.

Für alle, die mehr Informationen zu diesem Thema direkt vom Tool-Hersteller lesen möchten:
discuss.elastic.co/t/apache-log4j2-remote-code-execution-rce-vulnerability-cve-2021-44228-esa-2021-31/291476

Bei Bedarf steht Ihnen unser Support gerne unterstützend zur Verfügung.

Tipp der Woche

Managen Sie Ihr Office, wie es Ihnen gefällt. Lust auf einen kostenlosen Tipp pro Woche? Wir schicken Ihnen Ideen, die Sie weiterbringen. Jetzt kostenlos anmelden.