Kritische kwetsbaarheid in Apache Log4J

We sluiten de updates rondom de kritische kwetsbaarheid van Log4J. De kwetsbaarheid blijft continue in ontwikkeling. Daarom zijn we hier dagelijks mee bezig en lossen we op waar mogelijk. Heeft u vragen of ondervindt u problemen, neem dan contact met ons op via servicedesk@veneco.nl.

Dit weekend heeft Apache voor de derde keer een beveiligingsupdate uitgebracht voor een kwetsbaarheid in Log4J. Er is ontdekt dat het mogelijk is voor aanvallers om een DOS te veroorzaken. Deze DOS-kwetsbaarheid doet zich alleen voor bij loggingconfiguraties met een niet-standaard 'Pattern Layout'. We zijn momenteel bezig om ook deze kwetsbaarheid in kaart te brengen.

Zoals inmiddels bekend, is de Log4J kwetsbaarheid zo groot, waardoor wij onze controles continue uitbreiden. Nog niet alle servers, PC's en andere randapparatuur zijn gecontroleerd, maar onze engineers zijn hier dag in, dag uit mee bezig. Dagelijks komt er nieuwe informatie naar buiten over software die wel of niet geraakt is door deze kwetsbaarheid. Houd uw systeem goed in de gaten. Zorg ervoor dat backups goed zijn en veilig zijn. Ziet u iets verdachts, meld het ons direct via servicedesk@veneco.nl.

Indien u gebruik maakt van een Watchguard firewall met actief support contract (total security) dan is uw netwerk van buitenaf beschermd tegen aanvallen via de Log4J kwetsbaarheid. De Watchguard firewall detecteert en blokkeert deze aanvallen inmiddels automatisch.

Alle systemen in onze cloud-oplossing zijn inmiddels gecontroleerd en daar zijn geen bijzonderheden aangetroffen. Al onze klanten worden ondertussen een voor een gecontroleerd en waar nodig veilig gesteld.

Vanuit het NCSC en Digital Trust Center wordt gewaarschuwd dat patch 2.15 niet voldoende beschermd voor de Log4J kwetsbaarheid. Wilt u zelf aan de slag? Gebruik dan patch 2.16 voor een betere beveiliging.

Naar aanleiding van de informatiesessie van het NCSC, hebben we een nog beter beeld gekregen van de huidige situatie rondom Log4J. Hieruit blijkt dat ook systemen zonder internetverbinding geraakt kunnen worden. Daarmee hebben we onze onderzoeken direct uitgebreid en inventariseren en controleren we de patches waar dat nodig is en updaten we direct de systemen. Zelf kunt u via Github ook diverse scripts vinden om uit te voeren: https://github.com/NCSC-NL/log4shell

Bij het scannen van de servers in onze cloud-oplossing zijn geen bijzonderheden naar boven gekomen. De scans zijn daarmee afgerond. Ondertussen gaan wij door met het onderzoeken van de andere applicaties.

We scannen op dit moment iedere server in onze cloud-oplossing om extra kwetsbaarheden te achterhalen. U kunt hier vertraging van ondervinden in het gebruik van uw online werkplek.

De NCSC houdt een lijst bij van de impact op applicaties. Naast het onderzoek wat wij op onze diensten doen, kunt u op deze lijst de impact checken op andere applicaties die u wellicht heeft. Bekijk de update-pagina van NCSC hier: https://www.ncsc.nl/actueel/nieuws/2021/december/12/kwetsbare-log4j-applicaties-en-te-nemen-stappen

Op dit moment hebben we de Venéco Cloud-oplossing onder de loep genomen en gepatched waar dat noodzakelijk is. Blijf op de hoogte via deze statuspagina voor nieuwe updates.

We willen u graag informeren over de kritieke kwetsbaarheid in Apache Log4J, waar sommigen van onze klanten mee werken. Op dit moment onderzoeken wij de impact. We houden u via deze statuspagina op de hoogte.