log4j

pulau · 2021-12-13T20:20:20+00:00

Sunrise community - customers help other customers with topics related to television, Internet, telephone and mobile. Register now!

pulau

Hallo zusammen

Kann mir jemand sagen, ob die Connect Boxen von der log4j Sicherheitslücke betroffen sind?

Danke im voraus.

Pulau

Punisher

Hallo pulau

Das ist eine gute Frage, die ich dir leider nicht beantworten kann.

Aber bestimmt kann sich das @Sunrise_Team sich zu diesem Thema hier äussern.

Daniele_Sunrise

pulau Wir haben intern eine Anfrage an den Verantwortlichen gestartet. Gerne kannst du auch parallel eine Anfrage an abuse@upc.ch senden.

Liebe Grüsse
Daniele

maxell182

Funktionieren die mit Java?

Nino_52

hi @“maxell182”,

Im Java-Universum kommt dabei häufig die Bibliothek Log4j zum Einsatz. Und die schreibt das nicht nur weg; sie versucht, den Text X zu interpretieren.

maxell182

Nino_52

was das Ding ist, weiss ich, deshalb ja meine Frage, ob die CB’s mit Java funktionieren…😉

Nino_52

hi @“maxell182”,

Pardon, hatte übersehen, dass Du nach Connect-Boxen fragtest, war ja im Zusammenhang des Text von @“pulau” erkennbar…😇

pulau

Immer wieder schön, die Wertschätzung als Kunde von UPC zu erfahren und zu sehen, wie schnell und kompetent sie auf sicherheitsrelevante Fragen reagieren… @Sunrise_Team

Nino_52

hi @“pulau”,

genau - Du glaubst mir gar nicht wie viel mich Dein Einlass in der aufgeworfenen Frage weiter gebracht hat.

Nino_52

@“maxell182”,

ich persönlich glaube, dass der Zugriff-Algorithmus von Extern viel mehr ins Gewicht fällt, als mit welcher Applikation das Frontend aus-programmiert ist. Java ist auf sehr vielen Geräten in Anwendung, aber entscheidend ist ja, wie man in die Laufzeitumgebung eindringen kann.

Da UPC einen externen Zugriff auf die Connect-Box via ihre Administration hat stellt sich in erster Linie die Frage, wie sicher dieser Zugriff abgesichert ist! Wenn ein Angriff auf diese Geräte erfolgreich durchgeführt werden soll, ist es ja Bedingung zuerst einmal einen Zugriff auf das Gerät zu erhalten. Ist dieser Verwehrt, so kann auch keine Editieren der Applikation erfolgen und die Laufzeitumgebung hat keinen weiteren Einfluss.

Gruss Nino

maxell182

Hallo Nino_52

Ähhhm, doch, genau darauf kommt es an, log4j (wobei hier das “j” für “Java” steht).
Ist die Kiste nun mit was anderem programmiert, sollte es nichts machen.

Du hast schon Recht, UPC hat einen Zugang und der User selber.
Die Frage ist nun, ob und wenn ja, log4j verwendet wird, ist es exposed oder nur für den internen Gebrauch.

Vieleicht kommt ja noche eine Antwort.

Gruss maxell182

Nino_52

hi @“maxell182”,

dazu noch ein Gedanke. Je nach Anbieter sind die Modems ja nicht gleich konfiguriert. Bei einigen ist es ja so, dass man im Frontend de Users auch eine Option findet, welche den Zugriff auf das Gerät betrifft. Dabei kann auch das vom Betreiber genutzte Passwort editiert werden kann, oder manchmal auch den Fernzugriff ganz unterbunden werden. (hatte ich bei meinen Geräten früher immer unterbunden und nur bei Bedarf zugänglich gemacht.)

Diese Möglichkeit beinhaltet natürlich auch den Pferdefuss, dass der Betreiber so die Updates nur nach vorherige Ankündigung und des Users Freigabe erfolgen kann. Dazu kann der Betreiber auch die Funktionstauglichkeit bei Fehlverhalten nicht mehr überprüfen.

pulau

Daniele_Sunrise Danke dir! Da bin ich mal gespannt was kommt.

Daniele_Sunrise

pulau Jegliche Modems von UPC sind nicht davon betroffen. 👍

Liebe Grüsse
Daniele

pulau

Das sind doch mal gute Neuigkeiten Daniele_Sunrise Danke fürˋs abklären 👍🏻