NEWSNews vom 13.12.2021
Meinberg LANTIME- und microSync-Systeme nicht durch Log4j Sicherheitslücke gefährdet
Meinberg SyncFire NTP Server basieren auf Fujitsu (SF1000 und SF1100 Modelle) oder HPE (SF1200) Server Produkten. Diese Server haben eine integrierte Management-Konsole (bei Fujitsu iRMC, bei HPE iLO). Aktuell haben diese beiden Hersteller uns noch nicht mitgeteilt, ob die jeweiligen Management Controller unter Umständen eine betroffene Version von Log4j enthalten. Im Augenblick haben wir keine Hinweise auf eine Gefährdung dieser Subsysteme.
Standardmäßig werden SyncFire-Systeme von uns so ausgeliefert, dass unsere Kunden diese Managementkonsole nicht benutzen können und dass diese Restriktion nur auf Anfrage aufgehoben wird. Solange bei einem SyncFire-System die Ethernet-Schnittstelle des Management-Controllers (iRMC/iLO) nicht verbunden ist, besteht daher keine Chance, dass das entsprechende System in Bezug auf diese Log4j Schwachstelle angreifbar ist.
Mehr Informationen über die Sicherheitslücke finden Sie hier:
MITRE CVE: CVE-2021-44228
The Mitre Corporation
Apache Log4j Security Vulnerabilities
Logging Services apache.org
(betroffen sind Log4j Versionen <= 2.14.1)
Update 14.12.2021 - 8:49 CET:
HPE hat in dem Security Advisory https://support.hpe.com/hpesc/public/docDisplay?docLocale=en_US&docId=a00120086en_us bestätigt, dass die „Integrated Lights-Out 5 (iLO 5)“ Managementkonsole der Meinberg SyncFire SF1200 nicht betroffen ist.Update 15.12.2021 - 8:38 CET:
Fujitsu hat in dem Security Advisory Fujitsu-PSIRT-PSS-IS-2021-121000-Security-Notice-SF.pdf bestätigt, dass die "iRMC on PRIMERGY" Managementkonsole der Meinberg SyncFire SF1000 und SF1100 Modelle nicht betroffen ist.Alle Infos zu Sicherheitsschwachstellen finden Sie auf unserer Webseite.
