Hinweis: Dieser Artikel beschreibt ein Problem, welches im Jahr 2021 aktuell war. Dieser Artikel dient daher zu Referenzzwecken.
Die vor einigen Jahren entdeckte kritische Log4j-Schwachstelle betraf zahlreiche Web-Anwendungen und Apps, bei denen die Programmiersprache Java eingesetzt wird. Im Detail steckt die Sicherheitslücke in der Bibliothek namens "Log4j". Diese ist dafür da, Aktivitäten, beispielsweise auf Servern, bzw. Systemzugriffe zu protokollieren. Beispiel: "Benutzer X greift auf das System zu". Bei diesem Vorgang wird die Bibliothek Log4j aktiv, die versucht, solche Texte zu interpretieren. Diese Sicherheitslücke kann von Angreifern ausgenutzt werden, um auf fremden Systemen ihren eigenen Programmcode auszuführen und sich dadurch sehr leicht Zugriff auf fremde Systeme zu verschaffen.
Wer ist von der Sicherheitslücke betroffen?
Alle Systeme, die die Log4j-Bibliothek nutzen.
Betrifft dies auch Password Depot?
Nein, Password Depot ist davon NICHT betroffen. Dies gilt für alle Editionen, das heißt:
Windows Standard- und Corporate Client
Enterprise Server
Android
iOS
macOS
sowie unser Web-Interface und die Browser-Erweiterung.
Password Depot verwendet grundsätzlich kein Java, einzig bei unserer Android-App kommt es zum Einsatz, jedoch bestätigen wir Ihnen, dass die betroffene Bibliothek namens Log4j dort nicht verwendet wird.
Unser Web-Interface ist vollständig in JavaScript entwickelt und läuft nur im Browser, der das Logging-Tool Log4j gar nicht verwendet. Das Add-On nutzt ebenfalls nur JavaScript.
Was Password Depot betrifft, so ist also Entwarnung gegeben.
Vorsicht ist jedoch geboten in folgendem Fall:
Sollten Sie eine eigene Schnittstelle zu Password Depot Enterprise Server über Java entwickelt haben, so könnte Ihr System eventuell von der Sicherheitslücke betroffen sein. Wir empfehlen Ihnen daher dringend, dies zu überprüfen und im Zweifelsfall betroffene Systeme abzuschalten, wenn nicht zwingend notwendig. Zudem gibt es bereits ein Update von Log4j auf die aktuelle Version 2.24.1.