Apache log4j: Welche VMware-Produkte sind betroffen?

Zu diesem Zwecke übergeben sie der Anwendung speziell geformte Zeichenketten, beispielsweise über eine URL oder den Agent-String im HTTP-Header. Daher bieten etwa Login-Bildschirme eine besondere Angriffsfläche, weil Ereignisse wie die Anmeldung eines Benutzers meistens protokolliert werden. Eine detaillierte Analyse des Problems findet sich auf dieser Seite.

Seit der Entdeckung der Schwachstelle am 9. Dezember stellen Security-Firmen bereits eine Vielzahl von Angriffen auf log4j fest. Daher ist vonseiten der Anbieter und Anwender betroffener Produkte eine große Dringlichkeit geboten.

Status der betroffen Software

VMware listet auf dieser Seite sämtliche Produkte aus dem eigenen Haus auf, die durch die Sicher­heits­lücke gefährdet sind. Darunter finden sich essentielle Kompo­nenten der VMware-Plattform wie vCenter, Horizon, praktisch die ganze vRealize-Familie oder NSX.

Die Übersicht enthält eine Tabelle, die den aktuellen Status für jede Software widergibt. Dort finden sich Informationen zu verfügbaren Patches und Workarounds sowie die Versionen der bedrohten Anwendungen.

Die gute Nachricht ist, dass eine Reihe kritischer Produkte wie VMware ESXi, die VMware Tools, Desktop-Software wie die Workstation, Fusion oder ThinApp nicht betroffen sind. Eine vollständige Übersicht über die nicht gefährdeten Produkte findet sich auf dieser Seite.