arrow_back Hva betyr sikkerhetshullet Apache Log4j for IT-arkivaren i Depot?

Question

Sikkerhetshullet Apache Log4j har bidratt til usikkerhet rundt sårbarheten til de verktøy/programmer som IT-arkivaren bruker i Depot for å motta, validere, godkjenne, bevare, administrere og formidle arkivskapers uttrekk av systemene.

• Hva betyr sikkerhetshullet Apache Log4j i praksis for IT-arkivaren i Depot?
• Hvilke type verktøy/programmer er utsatt for problemet?
• Er det kun Server/Klient-baserte systemer som er utsatt, altså at det er på server side logging man er eksponert?
• Eller vil et program som kjører på en lokal klient, men som bruker en slik logg være eksponert fra utsiden av klienten når denne er tilkoblet internett?

Lenker:
- Kritisk sikkerhetshull i Apache Log4j - hva betyr det? - Nasjonal Sikkerhetsmyndighet
- Log4j - Wikipedia
- Apache Log4j 2 - Apache
- log4j og Droid - Landsomfattende Kunnskapsform, spørsmål om Log4j i DROID

Answer 1

Et annet system som er rammet, er Archivematica, via søkemotoren Elasticsearch. Leverandørens melding ang. patching finnes på denne siden.

Answer 2

Solr - del av dbptk enterprise - er berørt. Alle offisielle solr docker images er oppdatert av leverandør. Ny versjon hentes med f.eks docker pull solr:8.4 avh av versjon, eller docker-compose pull. Start så nye containere. OBS! Sjekk at container-data mellomlagres riktig til host først, hvis ikke går endringer tapt. Andre tiltak her. Ellers opplyser Keep at de ikke benytter log4j, men et annet loggeverktøy logback, og er dermed ikke direkte berørt i sin kode.

For å sjekke om dette faktisk er løst, kan du gå inn i solr container og kjøre
cat /opt/docker-solr/scripts/solr-fg | grep '\-Dlog4j2.formatMsgNoLookups=true'
Forventet resultat: EXTRA_ARGS+=('-Dlog4j2.formatMsgNoLookups=true')

Comments

Brukeren ble fjernet grunnet bruk av ulovlig navn.

Answer 3

Documaster melder følgende om Documaster Decom:

Decom er ikke påvirket av denne sårbarheten. Log4j er brukt også her,
men i en versjon som ikke er påvirket av denne sårbarheten. Det er med
andre ord ikke noe verken dere eller vi trenger å gjøre med denne
tjenesten. - Christian G. Albertsen

t.