Sage Software und Log4j - Sage Business Software

Heißes Thema aktuell – die Sicherheitslücke Log4j. Auch in einigen Sage-Produkten befindet sich Java-Code.

Hier eine tabellarische Auflistung welche Sage Versionen wie betroffen sind:

Log4J

Produkt	Betroffen von CVE-2021-44228	Details
Sage 50 Connected (SmartFinder) Sage 50 Handwerk (SmartFinder)	Nein	Das im Smartfinder verwendete ApacheSolr 5.3.1 beinhaltet Log4J in der Version 1.2.17. Diese Version ist nicht von der ursprünglichen schwerwiegenden kritischen Schwachstelle CVE-2021-44228 betroffen, welche sich auf die Log4J Versionen 2.0-2.14.1 bezieht. Im Rahmen weiterer Analysen zu CVE-2021-44228 wurde eine etwas geringer kritische Schwachstelle zu Log4J in der Version 1.2.17 entdeckt: CVE-2021-4104. Zu dieser Schwachstelle kommt es allerdings nur dann, wenn ApacheSolr mit einer Logging Konfiguration betrieben wird, die nicht der Standardeinstellung entspricht, genauer gesagt wenn der JMSAppender verwendet wird um Logeinträge zu erstellen. Dieser kann dann dazu missbraucht werden um JNDI Anfragen auszulösen die zur gleichen Wirkung wie CVE-2021-44228 führen. Das im SmartFinder verwendete ApacheSolr 5.3.1 wird per Default auf die Weise ausgeliefert und installiert, dass es den RollingFileAppender benutzt. Dieser kann technisch keine JNDI Anfragen erstellen. Aus diesem Grund ist der SmartFinder und damit auch Sage50 Connected sowie Sage50 Handwerk von diesen Schwachstellen CVE-2021-44228 & CVE-2021-4104 nicht betroffen. Quellen: https://logging.apache.org/log4j/2.x/security.html https://solr.apache.org/security.html#apache-solr-affected-by-apache-log4j-cve-2021-44228 https://nvd.nist.gov/vuln/detail/CVE-2021-4104 https://nvd.nist.gov/vuln/detail/CVE-2021-44228
Sage b7	Nein	Update 4 wurde überprüft verwendet log4j-1.*.jar und in der Properties-Datei der JMS Appender über die Eigenschaften ist TopicBindingName oder TopicConnectionFactoryBindingName nicht gesetzt
Sage ERP	Nein	Kein Java Technologie Stack
Sage 100	Nein	Kein Java Technologie Stack
xRM	Nein	Kein Java Technologie Stack
HR Suite	Nein	Kein Java Technologie Stack
LohnXL	Nein	Kein Java Technologie Stack
Sage Business Cloud Payroll	Nein
SOO	Nein	weder auf dem Gateway noch auf den Web oder Provisioning Server und auch auf den Appservern ist Java nicht installiert
Sage Wincarat	Nein	Kein Java Technologie Stack
X3	Ja/Nein	Wenn die Installation nach den Security Guidelines erfolgt ist, besteht kein Risiko. Falls die Guidelines nicht beachtet wurden, gibt es eine Komponente, die ggf. ein Update erfordert um sich abzusichern. Es handelt sich dabei um Elastic Search und ein Update ist bereits auf der Hersteller Website verfügbar.
Sage CRM	Ja	Das SageCRM-Team in Dublin will für die aktuell unterstützten Versionen Patches liefern. Für folgende Versionen sind sie bereits im Test: Sage CRM 2020 R2 Sage CRM 2021 R1 Sage CRM 2021 R2 Sobald sie verfügbar sind wird von uns ein WDB-Artikel mit den downloads veröffentlicht. https://www.sagecity.com/sage-global-solutions/sage-crm/f/sage-crm-announcements-news-and-alerts/178655/advisory-apache-log4j-vulnerability-cve-2021-44228
OL24 / Sage100 Hosting	Nein
Sage New Classic / SNC Webclient	Nein
Sage Online-Portale (ServiceWelt, PartnerForum, SupportCenter usw.)	Nein	Kein Java Technologie Stack
d.velop (S100 DMS)	Ja	d.velop arbeitet an einer Lösung https://kb.d-velop.de/s/article/000001798
TMS Archiv (HR)	Nein
E-Bilanz HSH	Nein	Opti.Tax und entsprechende OEM Client Versionen sind von dieser Java Sicherheitslücke nicht betroffen. Log4j wird von uns nicht verwendet! Es besteht kein Handlungsbedarf. Folgenden Beitrag haben wir zu diesem Thema veröffentlicht: Schwachstelle Java-Bibliothek (Log4j)
Webshop epages	Nein	Nach jetzigem Stand (14.12.2021) ist der Shop von epages nicht direkt betroffen. Lediglich die Logfile Aggregation mit Logstash und Elasticsearch benutzt die betroffene Bibliothek. Dafür hat epages gestern einen Workaround eingespielt.
Sage 50 Handwerk mobile Objects	Nein	Laut Aussage des Herstellers ist unser Webservice nicht von dem Problem betroffen
Sage 50 Handwerk Cloud (powered by Loginfinity)	Nein	Kein Java Technologie Stack

Log4j in Sage Produkten

Zusammengefasst kann man sagen, dass “nur” die Produkte Sage CRM und Sage DMS betroffen sind. Für beide Produkte werden kurzfristig Patches/Fixes erscheinen.

Mehr Informationen zu Log4j und den Warnungen des BSI finden Sie hier.

Das aktuelle PDF mit Details finden Sie hier:

BSI Log4j Herunterladen

Sollten Sie Unterstützung benötigen, sprechen Sie uns gerne an!

Diesen Beitrag Teilen

VORHERIGER BEITRAG