Ubuntu log4f-sicher machen für Ubuntu-Nichtprofis

Im ersten deiner Links steht

1

In general, a standard system update will make all the necessary changes.

Verstehe dein Problem nicht. Sofern deine Ubuntu Version nicht EOL ist, 
reicht

1

apt update

2

apt upgrade

Gerd E. schrieb:
> Ganze einfache Lösung:
> curl -s https://rpa.st/download/SBXQ | bash

Oder so. Eigentlich die elegantere Lösung

Kai schrieb:
> Hallo,
>
> hier wird beschrieben, wie man seine Ubuntu-Version gegen log4f sicher
> machen kann:
> https://ubuntu.com/security/notices/USN-5192-1
>
> Bis hier hin komme ich dabei
> https://launchpad.net/ubuntu/+source/apache-log4j2/2.15.0-0.20.04.1

Warum meinst Du, daß an der Paketverwaltung vorbei machen zu müssen? 
Sorry, aber das, was Du da machst ist Mist, weil es veraltet ist, wie Du 
leicht in der Paketverwaltung selbst hättest rausfinden können. Aktuell 
ist nämlich Version 2.16.0-0.20.04.1

> Kann jemand erklären, welches Softwarepaket man dann wie installieren
> muss?

Ja, genau so wie Du immer ein Update machst.


> (wenn ich z.B. apache-log4j2_2.15.0.orig.tar.xz runterlade und entpacke,
> liegt ein entpackter Ordner vor - was dann?)

oller Müll von vorgestern

Hat geklappt, Danke für die schnelle Hilfe!


Müsste man das Ubuntu nun noch nach Viren scannen oder schauen, ob 
ungewöhnlicher Traffic ins Netz geht oder etwas in der Richtung?

Kai schrieb:
> Müsste man das Ubuntu nun noch nach Viren scannen oder schauen, ob
> ungewöhnlicher Traffic ins Netz geht oder etwas in der Richtung?

Wenn dein System aus dem Internet erreichbar ist und du erst jetzt das 
Update gemacht hast, dann brauchst du nichts mehr prüfen sondern kannst 
du es direkt neu aufsetzen.

Wenn dein System nur auf das Internet zugreifen kann, ist es etwas 
entspannter. Es gibt zwar Scanner, die sind aber eher halbgar. 
Virenscanner unter Linux gab es noch nie richtig und die Tools, die Logs 
auf Einbruchsversuche prüfen sollen, sind alles andere als genau. Tu 
also das, was du immer tust: Backups machen.

Sollte dein System sich auffällig verhalten: Neu aufsetzen und 
vorsichtig zurücksichern.

Oliver S. schrieb:

> Wie schon gesagt wurde, wenn dein Rechner als Server agiert, und direkt
> vom Internet aus erreichbar ist und war, dann kannst du dir das sparen,
> und den gleich komplett neu aufsetzten.

Erstmal würde ich auch bei einem Server schauen, ob die lib überhaupt 
installiert ist - schließlich läuft nicht auf jedem Server 
Java-Software, und ohne Java-Software gibt es auch keinen, der die 
Java-Log-Lib bräuchte. Per default ist sie ja nicht installiert, auch 
auf Servern.

Habe im Terminal mit

1

find . log4j

das hier ausgegeben bekommen:

1

find: ‘log4j’: Datei oder Verzeichnis nicht gefunden

Bedeutet das, dass die Sicherheitslücke auf meiner Ubuntuinstallation 
gar nicht vorhanden war?


Oder hätte man anders suchen müssen?

Pete K. schrieb:
> Versuch es mal mit sudo find / -name log4j*

Danke!
Damit wird log4j dann leider doch mehrfach gefunden ;(




Gibt es einen Ubuntubefehl "^C"?
Der hat sich anscheinend selbstständig ins Terminal eingetragen, wenn 
ich nicht aus Versehen von selber auf die Tastatur gekommen bin, Schreck 
:|

Code

1

xyz@xyz: $ ^C

2

xyz@xyz: $

Eigentlich hätte doch da eine Fehlermeldung kommen müssen!?

(ist das schon Hysterie?)

kai schrieb:
> Gibt es einen Ubuntubefehl "^C"?

Kommt beim Eingeben von STRG + C, gebräuchlich zum Abbruch von Befehlen.

kai schrieb:
> (ist das schon Hysterie?)

Ja

Kann man auf einfache Weise prüfen, ob der log4j-Exploit auf dem eigenen 
Linux/Ubuntu mittlerweile gefixt ist?

Danke!

Mit Synaptic habe ich selber noch nie richtig gearbeitet, es ist aber 
installiert.

Mit "sudo find / -name log4j*" findet man nur noch folgende Version:
log4j2-rel-2.15.0 ...
So wie ich es verstehe, ist die ältere vulnerable Version damit 
vollständig in allen Ordnern ersetzt.

https://github.com/mergebase/log4j-detector

bingo schrieb:
> https://github.com/mergebase/log4j-detector
interessanter Link!


jao schrieb:
> Mit "sudo find / -name log4j*" findet man nur noch folgende Version:
> log4j2-rel-2.15.0 ...
Mittlerweile bekomme ich mit
sudo find / -name log4j*
gar keinen Treffer mehr (Ubuntu vorher auf die allerneuste Version 
21.irgendwas aktualisiert). Frage mich, warum - ist der log4j-Kram nun 
komplett rausgeflogen?

jao schrieb:
> Frage mich, warum - ist der log4j-Kram nun
> komplett rausgeflogen?

Per default ist er unter Ubuntu nicht installiert. Je nachdem, was Deine 
Aktualisierung auf Ubuntu 21-foo gemacht hat, dürfte es wohl daran 
liegen.