Verwendet 3CX log4l?

[infinitytransfers]

Nachdem ggw. die Lücke CVE-2021-44228 eine Vielzahl von Applikationen betrifft: Verwendet 3CX diese Library?

 

[infinitytransfers]

Eine der schlimmsten Sicherheitslücken in history. Angriffe laufen längst, Admins arbeiten das ganze Wochenende um Systeme abzusichern und 3CX hüllt sich in Schweigen. Auch im Englischen Forum keine Rückmeldung.

 

[bitn]

Naja was erwartest Du von einem Forum?! Die Mods haben Wochenende. Ich denke wenn was wäre dann hätte 3CX schon längst ein Update veröffentlicht und es hier gepostet oder im Blog.

 

[vieledinge]

Da log4j eine reine Java-Bibliothek ist und 3CX weder Java in irgendeiner Form als Systemvoraussetzung führt als auch in den Installationsverzeichnissen keine Java-Installation zu finden ist würde ich mal sagen: Nein, 3CX nutzt kein log4j.

Ansonsten finden sich in der Publikation des BSI auch Hinweise, wie man die eigenen Systeme auf Verwundbarkeit prüfen kann:

Version 1.5: Kritische Schwachstelle in log4j veröffentlicht

Die kritische Schwachstelle (Log4Shell) in der weit verbreiteten Java-Bibliothek Log4j führt nach Einschätzung des BSI zu einer extrem kritischen Bedrohungslage. Das BSI hat daher eine Cyber-Sicherheitswarnung der Warnstufe Rot veröffentlicht.

www.bsi.bund.de

 

[Juri]

find / -iname *log4j* 2>/dev/null

findet zumindest bei unserer 3CX-Installation keine Ergebnisse; folglich scheint 3CX nicht betroffen zu sein.

 

[Kathrin]

Im Englischen Forum wurde bereits offiziell bestätigt, dass 3CX nicht betroffen ist.

LG

 

[Andre Faulborn]

Moin zusammen,

ja das mag so sein das 3CX lokal kein Java verwendet und diese Systeme nicht betroffen sind.
Aber was ist mit dem Hosted by 3CX? Das läuft in der Cloud auf Webservern. Nutzen diese Webserver Apache?
Wenn ja sind diese Systeme definitiv betroffen!
Die Microsoft Azure Umgebungen dürfen auch nicht vergessen werden.

 

[Juri]

Moin zusammen,

ja das mag so sein das 3CX lokal kein Java verwendet und diese Systeme nicht betroffen sind.
Aber was ist mit dem Hosted by 3CX? Das läuft in der Cloud auf Webservern. Nutzen diese Webserver Apache?
Wenn ja sind diese Systeme definitiv betroffen!

Dann ist aber doch der Host betroffen, nicht die VM –> und das dürfte erstens unabhängig davon sein, ob die VM läuft oder gestoppt ist und wenn du die VM gemietet hast, kannst du am Host ohnehin keine Updates durchfühlen, das ist Sache vom Anbieter.

 

[fxbastler]

Ich habe das seit Freitag auf der Uhr, bei allen unseren Kunden mit allen möglichen und unmöglichen Systemen.

3CX ist wegen der Log4j Lücke und auch wegen der Apache Lücke letztens nicht auf der Gefährdungsliste, gut so. 3CX nutzt kein Java und auch kein Apache (sondern Nginx).

Schaut doch mal selber: https://gist.github.com/SwitHak/b66db3a06c2955a9cb71a8718970c592

 

[Jörg Giencke]

Aber was ist mit dem Hosted by 3CX? Das läuft in der Cloud auf Webservern. Nutzen diese Webserver Apache?
Wenn ja sind diese Systeme definitiv betroffen!

Inwiefern sollte der Apache Webserver davon betroffen sein?

Apache Webserver und Apache Log4j 2 sind zwei völlig unterschiedliche Paar Schuhe. Nur weil etwas unter den Fittichen der Apache Foundation entwickelt wird, hat das nicht notwendigerweise Auswirkungen auf den Apache Webserver.

 

[Andre Faulborn]

Ja ok ich sehe es ein, hätte mich präziser ausdrücken sollen. Fakt ist aber das wir auch auf Apache Webservern in Verbindung mit Java die log4j gefunden haben.

 

[fxbastler]

Die Lücke hat erstmal nichts mit dem Indianer der die Pfeile verschiesst zu tun. Kann sein es wird diese Kombination benutzt - muss es aber nicht sein. Bei 3CX kommt weder das Eine noch das Andere noch diese Kombination zur Anwendung.

Die Lücke beruht auf einem Fehler im Logger Framework der Apache Software Foundation. Das ist eine Java Komponente. Die Gemeinsamkeit ist: ein Teil des Namen.