Frage zu Log4J Problem

[Bernhard Geyer]

Woraus liest du das auch log4j 1.x auch betroffen wäre?

Die Erweiterung mit Auswertung der Daten ist ja erst mit 2.x rein gekommen.
Oder verwechselst du da evtl. was mit das ältere Java-Versionen noch anfälliger wären?

[dummzeuch]

Zitat von Bernhard Geyer:

Woraus liest du das auch log4j 1.x auch betroffen wäre?

Von hier:
https://github.com/apache/logging-lo...ment-990494126

Zitat:

Update (2021-12-12 10:09 JST): according to this analysis by @TopStreamsNet, strictly speaking, applications using Log4j 1.x may be impacted if their configuration uses JNDI. However, the risk is much lower.

Da ich aber keine Ahnung von Log4J habe, kann ich nicht beurteilen, ob das stimmt und wie problematisch das ist.

Btw: Der Embarcadero License Server (für Network Lizenzen) benutzt Log4J 1.x.

[Harry Stahl]

Zitat von Bernhard Geyer:

Woraus liest du das auch log4j 1.x auch betroffen wäre?

Die Erweiterung mit Auswertung der Daten ist ja erst mit 2.x rein gekommen.
Oder verwechselst du da evtl. was mit das ältere Java-Versionen noch anfälliger wären?

Aus dem BSI-Papier vom 14.12.2012:

"Eine ähnliche Schwachstelle ist auch für die nicht mehr im Support befindlichen Versionen
1.x gemeldet worden, hierbei scheint die Ausnutzung allerdings komplexer zu sein. Da die Versionen 1.x jedoch den
End-of-life (EOL) Status erreicht haben, wird es zu diesen keine Sicherheitsupdates mehr geben [APA2021a]."