UPDATE [16.12.2021]: Informationen zur kritischen Log4j Sicherheitslücke (CVE-2021–44228)

Eine kürz­lich be­kannt­ge­wor­de­ne Si­cher­heits­lü­cke in der Pro­gramm­bi­blio­thek „Log4j“ ge­fähr­det Mil­lio­nen von IT Sys­te­men. Über die­se Si­cher­heits­lü­cke, in Ver­bin­dung mit un­se­rer QM Lö­sung, ha­ben wir Sie am Diens­tag informiert.

Auf der In­for­ma­ti­ons­sei­te des Bun­des­am­tes für Si­cher­heit in der In­for­ma­ti­ons­tech­nik (BSI) fin­den Sie wei­te­re, all­ge­mei­ne In­for­ma­tio­nen zu die­ser Schwachstelle.

Die Über­prü­fung der po­ten­zi­ell be­trof­fe­nen Kom­po­nen­ten der d.velop AG ist mitt­ler­wei­le sehr weit fort­ge­schrit­ten. Die fort­lau­fend ak­tua­li­sier­ten In­for­ma­tio­nen zu den Pro­duk­ten fin­den Sie im Know­ledge Base Ar­ti­kel der d.velop AG. Wir be­ob­ach­ten die dort ver­öf­fent­lich­ten In­for­ma­tio­nen fort­lau­fend, um die Aus­wir­kun­gen auf un­se­re QM Lö­sung zu be­ur­tei­len und schät­zen die Lage ak­tu­ell wie folgt ein.

Un­se­re QM Lö­sung um­fasst Pro­duk­te von der Di­gi­tal Life Sci­en­ces GmbH und von der d.velop AG. Die Pro­duk­te der Di­gi­tal Life Sci­en­ces GmbH ver­wen­den die be­trof­fe­ne Bi­blio­thek „Log4j“ nicht und sind nicht von der Si­cher­heits­lü­cke betroffen.

Die für den Be­trieb der QM Lö­sung ver­wen­de­ten Pro­duk­te der d.velop AG sind eben­falls nicht von der Si­cher­heits­lü­cke be­trof­fen. Die­se ver­wen­de­ten Pro­duk­te der d.velop AG, wel­che mit der In­stal­la­ti­on ge­mäß IQ in­stal­liert wer­den, sind in dem Know­ledge Base Ar­ti­kel der d.velop AG als nicht be­trof­fen aufgelistet.

Die Er­wäh­nung des d.3 pre­sen­ta­ti­on ser­vers, wel­cher auch für die QM Work­flows ein­ge­setzt wird, be­zieht sich aus­schließ­lich auf kun­den­in­di­vi­du­el­le Er­wei­te­run­gen (Web­Ap­ps), wel­che die ge­fähr­de­te Ver­si­on der „Log4j“ selbst ent­hal­ten. Sol­che kun­den­in­di­vi­du­el­len Er­wei­te­run­gen wer­den nicht in un­se­rer QM Lö­sung ver­wen­det. Die mit der QM Lö­sung in­stal­lier­te Ver­si­on des d.3 pre­sen­ta­ti­on ser­vers ver­wen­det eine nicht ge­nutz­te und äl­te­re Ver­si­on der Bi­blio­thek, wel­che nicht von der Schwach­stel­le CVE-2021–44228 be­trof­fen ist.

Ei­ni­ge Kun­den ver­wen­den eine Ein­gangs­rech­nungs­lö­sung in Ver­bin­dung mit d.ecs task, wel­che von der d.velop AG als be­trof­fen ein­ge­stuft wur­de. Soll­ten Sie dies­be­züg­lich noch kei­nen Kon­takt mit uns auf­ge­nom­men ha­ben, wen­den Sie sich bit­te an un­se­ren Sup­port oder Ih­rem zu­stän­di­gen Pro­ject Manager.

Wenn Sie wei­te­re Pro­duk­te der d.velop AG in Ih­rem Un­ter­neh­men in­stal­liert ha­ben, soll­ten Sie drin­gend die von der d.velop AG auf­ge­führ­ten Maß­nah­men zur Be­sei­ti­gung der Si­cher­heits­lü­cke be­ach­ten, wenn die von Ih­nen in­stal­lier­ten Pro­duk­te be­trof­fen sind.

Vie­len Dank für die Be­ach­tung und freund­li­che Grüße

Die­ter Schulten

Ge­schäfts­füh­rer
Di­gi­tal Life Sci­en­ces GmbH