'log4j' --> kein Bugfix ???

[tscott]

Moin, moin Leute,

ich habe natürlich auch das mit dem 'log4j' Problem gehört. Also dass man per JNDI Remote Code ausführen kann. Als Betreiber eines kleinen Homeservers mache ich mir dabei natürlich so meine Gedanken wie relevant das für mich sein könnte. Gibt es denn da keinen Bugfix? Zumindest für Apache würde ich doch einen erwarten, oder?

Ich habe seit Bekanntwerden keinen Hinweis auf irgendwelche Bugfixes für meine derzeit installierten Pakete gesehen. Es sei denn ich habe irgendetwas übersehen.

Was meint ihr?

Ciao
Tom

[jph]

Das Update erfolgte bereits am 11.12.

https://security-tracker.debian.org/tra ... 2021-44228

[TRex]

Zumindest für Apache würde ich doch einen erwarten, oder?

Apache Tomcat ja, Apache httpd nein (kein Java).

[tscott]

Zumindest für Apache würde ich doch einen erwarten, oder?

Apache Tomcat ja, Apache httpd nein (kein Java).

Alles klar. Verstehe jetzt. Dankesehr.

Ciao
Tom

[KP97]

@Mods
Kann das evtl. jemand nach "Sicherheit" verschieben, eine Neuigkeit ist es ja nicht.

[KP97]

Hier noch ein Beitrag zu diesem Thema:
https://www.heise.de/news/Log4j-Luecke- ... ag.beitrag

[MSfree]

Hier noch ein Beitrag zu diesem Thema:
https://www.heise.de/news/Log4j-Luecke- ... ag.beitrag

Wenn du schon auf Heise verlinkst, kannst du auch gleich auf deren "spezielles" Log4J-Angebot verlinken:
https://www.heise.de/thema/Log4j

Und falls es hier noch nicht erwähnt wurde, der Patch auf 2.15 ist anscheinend nicht ausreichend, inzwischen gibt es 2.16.

[jph]

Update: der bereits ausgelieferte Fix ist noch nicht ausreichend – daher gab es heute einen Fix für den Fix.

https://security-tracker.debian.org/tra ... 2021-45046

[TRex]

ich hab mal den anderen log4j-Thread hier eingegliedert.