Sicherheitslücke in Apache Log4j

In den letzten Tagen haben uns viele Anfragen zur Sicherheitslücke in Apache Log4j erreicht, über die alle Medien berichtet haben. Es handelt sich um eine äußerst kritische Schwachstelle, die den Namen Log4Shell erhalten hat.

In unseren Diensten wird Apache Log4j ausschließlich in Dovecot Sorl verwendet. Dieses System liefert schnelle und effiziente Ergebnisse bei umfangreichen Suchen im E-Mail-Bestand (nur bei IMAP), zum Beispiel wenn Sie über das Suchfeld des Webmails in allen E-Mails nach einer Zeichenfolge suchen.

Der Sicherheitspatch wurde noch am Tag der Veröffentlichung der Sicherheitslücke eingespielt, gefolgt von weiteren Updates in den Tagen danach.

Da der Dienst Dovecot Sorl nicht öffentlich erreichbar ist, ist das Risiko begrenzt (alle Systeme wurden geprüft, und die Sicherheitslücke wurde in keinem Fall ausgenutzt). Um sie auszunutzen, hätte ein Angreifer zunächst gültige Zugangsdaten zu einem E-Mail-Konto in unserer Infrastruktur besitzen und dann noch wissen müssen, dass diese Bibliothek bei der Suche verwendet wird.

Obwohl alle Patches eingespielt sind und der Zugriff eingeschränkt ist, haben wir Dovecot Sorl vorsichtshalber vorübergehend deaktiviert, bis Sicherheitsexperten bestätigt haben, dass die Patches tatsächlich vollständig wirksam sind. Da es sich nicht um einen kritischen Dienst handelt, besteht der einzige Nachteil darin, dass Suchen in den E-Mails in den nächsten Wochen langsamer sind. In dieser Zeit stellen wir sicher, dass wir das System ohne Risiko wieder aktivieren können.