2021-2582: IBM WebSphere Application Server, Log4j: Eine Schwachstelle ermöglicht das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2021-12-13 15:27)

Neues Advisory

Version 2 (2021-12-16 09:16)

IBM informiert darüber, dass die Schwachstelle auch den in IBM WebSphere Hybrid Edition enthaltenen WebSphere Application Server betrifft. Für Sicherheitsupdates wird auf IBM Security Bulletin 6525706 verwiesen.

Betroffene Software

Middleware
Server

Betroffene Plattformen

HP
IBM
Linux
Microsoft
Oracle
UNIX

Beschreibung:

Ein Angreifer kann die Schwachstelle aus der Ferne ausnutzen, indem er eine speziell präparierte Code-Zeichenfolge sendet, um beliebigen Java-Code auf den Server zu laden und dadurch die komplette Kontrolle über das System zu übernehmen. Die Schwachstelle ist als 'Log4Shell' oder 'LogJam' bekannt.

Für die Ausnutzung der Schwachstelle sind keine Privilegien erforderlich. Die erfolgreiche Ausnutzung der Schwachstelle kann Einfluss auf andere Komponenten haben.

IBM bestätigt die Schwachstelle in IBM WebSphere Application Server 8.5 und 9.0 und kündigt die Fix Packs 8.5.5.21 und 9.0.5.11 als Sicherheitsupdates an. Für die betroffenen Versionszweige steht Interim Fix PH42728 als Zwischenlösung bereit. Darüber hinaus sind, abhängig von der Konfiguration, weitere, von IBM beschriebene Mitigationsschritte erforderlich.

Schwachstellen:

CVE-2021-44228

Schwachstelle in Apache Log4j ermöglicht Ausführen beliebigen Programmcodes

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.