Date

 

Product

Log4j 2

VulnerabilityNot applicable
Official linkCVE-2021-44228




Dear customer,

on Thursday 9th december developers and security researcher found a security vulnerability in Apache Log4j 2.

What you need to know

A security vulnerability was discovered in Apache Log4j 2. Log4j is a popular logging package for Java.

This is a security issue affecting a broad range of software based upon Java. Atlassian products such as Jira and Confluence run on Java and also utilize Log4j.

Atlassian products

Atlassian on-premise applications use an outdated version of Log4j and are not affected therefore.

As of now Atlassian issued no full Security Adviosory. On 10th of December Atlassian put out a FAQ for this exploit under https://confluence.atlassian.com/kb/faq-for-cve-2021-44228-1103069406.html

Data Center & Server

Our Security team is currently investigating the impact of the Log4j remote code execution vulnerability (CVE-2021-44228) and determining any possible impact on our on-premise products.

So far, we do not believe our on-premises products are vulnerable to exploitation in their default configuration. However, if a you have modified the default logging configuration (log4j.properties) to enable the JMS Appender functionality, remote code execution may be possible in the following products (Bitbucket Server & Data Center are not affected):

  • Jira Server & Data Center

  • Confluence Server & Data Center

  • Bamboo Server & Data Center

  • Crowd Server & Data Center

  • Fisheye

  • Crucible

Our installations have been checked according to information in the FAQ and have no configurations that could lead to misuse.

Third-party apps can pose a risk. We cannot determine whether there is a risk in this respect in your installation. We have checked our own bitvoodoo apps and found them to be risk-free. You can find more information about our apps here: Log4Shell - bitvoodoo apps - 2021-12-13

What should I do?

As your Atlassian application is using the default configuration of Log4j you are not affected.

As we can't speak for other app vendors, we cannot be certain that other apps are safe. You might need to get in touch with other Atlassian Marketplace vendors, contact our support if you need assitance.


Further Reading

Support

If you still have questions or concerns regarding this advisory at support.bitvoodoo.ch with bitvoodoo support.



Sehr geehrte Kunden,

am Donnerstag, den 9. Dezember, haben Entwickler und Sicherheitsforscher eine Sicherheitslücke in Apache Log4j 2 entdeckt.

Was Sie wissen müssen

In Apache Log4j 2 wurde eine Sicherheitslücke entdeckt. Log4j ist ein beliebtes Protokollierungspaket für Java.

Es handelt sich um ein Sicherheitsproblem, das eine breite Palette von Software betrifft, die auf Java basiert. Atlassian-Produkte wie Jira und Confluence laufen auf Java und nutzen ebenfalls Log4j.


Atlassian-Produkte

Atlassian On-Premise-Anwendungen verwenden eine veraltete Version von Log4j und sind daher nicht betroffen.

Bis jetzt hat Atlassian noch keinen vollständigen Sicherheitshinweis veröffentlicht. Am 10. Dezember hat Atlassian eine FAQ zu diesem Exploit veröffentlicht unter  https://confluence.atlassian.com/kb/faq-for-cve-2021-44228-1103069406.html

Our Security team is currently investigating the impact of the Log4j remote code execution vulnerability (CVE-2021-44228) and determining any possible impact on our on-premise products.

So far, we do not believe our on-premises products are vulnerable to exploitation in their default configuration. However, if a you have modified the default logging configuration (log4j.properties) to enable the JMS Appender functionality, remote code execution may be possible in the following products (Bitbucket Server & Data Center are not affected):

  • Jira Server & Data Center

  • Confluence Server & Data Center

  • Bamboo Server & Data Center

  • Crowd Server & Data Center

  • Fisheye

  • Crucible

Unsere Installationen wurden gemäss Informationen im FAQ überprüft und haben keine Konfigurationen, die zu einem Missbrauch führen können.

Ein Risiko kann von Apps von Drittherstellern ausgehen. Ob diesbezüglich in ihrer Installation eine Risiko besteht können wir nicht eruieren. Unsere eigenen bitvoodoo Apps haben wir überprüft und als risikofrei bezeichnet. Mehr Informationen zu unseren Apps finden Sie hier: Log4Shell - bitvoodoo apps - 2021-12-13

Was soll ich unternehmen?

Da Ihre Atlassian-Anwendung die Standardkonfiguration von Log4j verwendet, sind Sie nicht betroffen.

Da wir nicht für andere App-Anbieter sprechen können, können wir nicht sicher sein, dass andere Apps nicht betroffen sind. Möglicherweise müssen Sie sich mit anderen Atlassian Marketplace-Anbietern in Verbindung setzen, kontaktieren Sie unseren Support, wenn Sie Hilfe benötigen.

Weitere Informationen zum Thema

Support

Wenn Sie noch Fragen oder Bedenken zu diesem Advisory haben, wenden Sie sich bitte unter support.bitvoodoo.ch an den bitvoodoo Support.