Apache Log4J-Sicherheitslücke

Es wurde eine Sicherheitslücke bezüglich der Apache Log4j Java-Bibliothek kommuniziert. Apache Log4j ist von dieser Schwachstelle in den Versionen 2.0 bis 2.14.1 betroffen. Die Schwachstelle wurde mit Version 2.17.0 behoben.

Als vertrauenswürdiger Partner unserer Kunden informieren wir Sie offiziell über die Nutzung der Log4j-Bibliothek in den Softwareprodukten von .riess engineering.

Wir haben alle .riess engineering Software-Produkte analysiert und wenn zutreffend die Apache Log4j Java-Bibliothek durch die aktuell empfohlene Version ersetzt.

Projektspezifische oder kundenspezifische Entwicklungen sind von dieser Analyse ausgeschlossen.

.riess engineering / SAP Software-Produkte, die von der Schwachstelle betroffen sind

• SAP Engineering Control Center interface to PTC Creo
• .riess JsConverter
• .riess Converter
• .riess MigrationSuite
• .riess Plugin for cenitCONNECT EnCo 6.1

.riess engineering / SAP Software-Produkte, die nicht von der Schwachstelle betroffen sind

• SAP product data management integration to PTC Windchill
• SAP PLM Integration to Pro/ENGINEER and PTC Creo
• .riess CopyAssistant

SAP Software-Produkte verfügbar im SAP Software Download Center

• SAP Engineering Control Center interface to PTC Creo

.riess engineering Software-Produkte verfügbar bei .riess

• riess JsConverter
• .riess Converter
• .riess MigrationSuite

.riess engineering Software-Produkt verfügbar bei CENIT

• .riess Plugin for cenitCONNECT EnCo 6.1

Bitte beachten Sie die folgenden, aktualisierten Hinweise im SAP One Support Launchpad und SAP Wiki SCN:

• 2112629 - ECTR interface to PTC Creo: Installation and patches
• 2382535 - SAP PDM Integration to PTC Windchill: Installation and patches
• 1451121 - HRE: SAP PLM integration for Pro/ENGINEER 3.2 – patches
• CVE-2021-44228, CVE-2021-45046 Apache Log4j 2 - Usage in SAP ECTR Interface to PTC Creo - Product Lifecycle Management - Community Wiki

Als kurzfristige Mitigationsmaßnahmen wird durch den Log4j Hersteller empfohlen:

• Die Umgebungsvariable LOG4J_FORMAT_MSG_NO_LOOKUPS auf true setzen

Oder

• Löschen der Klasse JndiLookup im Klassenpfad [APA2021b]: zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

_{Quelle: www.bsi.bund.de}