close Warning: Can't synchronize with repository "keplertools" (/srv/svn/keplertools does not appear to be a Subversion repository.). Look in the Trac log for more information.

Changes between Initial Version and Version 1 of Ticket #4297, comment 8


Ignore:
Timestamp:
Jan 8, 2022, 11:38:40 AM (5 years ago)
Author:
bau

Legend:

Unmodified
Added
Removed
Modified

  • Ticket #4297, comment 8

    initial v1  
    66
    77Zudem habe ich darauf hingewiesen:
    8 Sie schreiben: "(...) der nicht von der Untis GmbH zu vertretende Fehler (...)" - unseren Recherchen zufolge handelt es sich eher um ein schon immer dokumentiertes Feature von Log4j, welches nun ähnlich den SQL-Injections für Schadsoftware ausgenutzt wird (Sie würden sicher keineswegs Daten einer Usereingabe einfach unbesehen in ein SQL-Statement übernehmen, um sich dann mit der Frage konfrontiert zu sehen, warum das Kind nicht ";DROP DATABASE; heißen darf - eher würden Sie die Usereingabe vorher mit z.B. mysql_real_escape_string() bearbeiten wollen). Ich würde behaupten wollen, dass seitens Gruber&PettersLog4j zu unreflektiert eingesetzt wurde.
     8Sie schreiben: "(...) der nicht von der Untis GmbH zu vertretende Fehler (...)" - unseren Recherchen zufolge handelt es sich eher um ein schon immer dokumentiertes Feature von Log4j, welches nun ähnlich den SQL-Injections für Schadsoftware ausgenutzt wird (Sie würden sicher keineswegs Daten einer Usereingabe einfach unbesehen in ein SQL-Statement übernehmen, um sich dann mit der Frage konfrontiert zu sehen, warum das Kind nicht ** ";DROP DATABASE; ** heißen darf - eher würden Sie die Usereingabe vorher mit z.B. mysql_real_escape_string() bearbeiten wollen). Ich würde behaupten wollen, dass seitens Gruber&Petters Log4j zu unreflektiert eingesetzt wurde.
     9
     10Ich habe auch nachgefragt, ob man den TomCat so konfigurieren kann, dass Log4j nur logged und nicht ausführt.