VonDoczuDoc.de

Aktuell vom BSI: Warnstufe Rot: Schwachstelle Log4Shell führt zu extrem kritischer Bedrohungslage
(https://www.bsi.bund.de/DE/Service-Navi ... feRot.html)

Wenn ich das richtig sehe, findet die Bibliothek auch in TM fleissig Anwendung, z.B. auch in KIM . Mal schauen, ob das noch ein Problem für uns wird.

Mal aus seriöser Quelle: https://www.heise.de/hintergrund/Ueberh ... 78428.html
Mein Fazit: zahle auch weiterhin 2,5% Strafe für Datenschutz und Wahrung der Schweigepflicht.
Bei einer Scheinzahl von >> 1000 und vielen sehr technikaffinen Patienten (Insulinpumpenträger) hat mich z. Bsp. noch nie einer um eine elektronische Patientenakte gebeten.
AU und Rezepte online + Papier ? löst nur Kopfschütteln aus.
Schöne Adventszeit!

Guten Abend,

nur damit das klar ist - das Problem betriftt nicht nur KIM oder die TI sondern praktisch alle Programme auf allen Systemen ( Handy, Laptop; Server, Spielekonsolen....) die vom Internet erreichbar sind. Also auch ein Laborprogramm das auf Java-Basis arbeitet und online geschaltet wird (und sei es nur ab und an!)
Lediglich die Praxis die keinen (!) Rechner online hat bzw keinen benutzt und auch keine Daten einliest ist nicht betroffen!
Lieben Gruß und drücken wir die Daumen, denn ich kenn keinen Menschen mehr der nicht irgendwo online ist
C. Söllenböhmer

Das Problem bezieht sich auf Server, bei denen man sich einloggen kann
Zu Ihrem Beispiel:
Der Labordatenabruf ist für die abrufende Praxis kein Problem. Hingegen muss das Labor gucken, dass sich keiner (über einen Log-in Befehl) die Kontrolle über den Server verschaffen kann um dort etwas zu installieren.

Es dürfte nur wenige Praxen geben, bei denen man sich einloggen kann, wenn das der Fall sein sollte, muss man natürlich Maßnahmen ergreifen und das erstmal bis zur Klärung abschalten (wie bei KVNO offline)

RAMöller hat geschrieben:Das Problem bezieht sich auf Server, bei denen man sich einloggen kann
Zu Ihrem Beispiel:
Der Labordatenabruf ist für die abrufende Praxis kein Problem. Hingegen muss das Labor gucken, dass sich keiner (über einen Log-in Befehl) die Kontrolle über den Server verschaffen kann um dort etwas zu installieren.
[...]

Ja, aber der Server gibt den Praxen etwas zurück.

LDT selbst mag vielleicht sauber sein, wobei hier ein Restrisiko der Weiterverarbeitung mit einem betroffenen Java-Programm bestehen könnte -> Fehlerhafte Zeile im LDT wird ins Log geschrieben usw. - aber dann ist noch kein Fremdcode eingeschleust.
Und es gibt auch Labor-DFÜ-Umgebungen mit direkter und dauerhafter Verbindung ins Labor. Das könnte schon interessanter sein.

Insgesamt aber ist die Wahrscheinlichkeit, dass auf diesem Wege oder per IP-Spoofing und Co. was passiert, eher gering.
Bei der Welle, die das BSI berechtigt schiebt, dürften alle Serverdienstbetreiber hinreichend alarmiert sein.

Soelle hat geschrieben:Guten Abend,

nur damit das klar ist - das Problem betriftt nicht nur KIM oder die TI sondern praktisch alle Programme auf allen Systemen ( Handy, Laptop; Server, Spielekonsolen....) die vom Internet erreichbar sind. Also auch ein Laborprogramm das auf Java-Basis arbeitet und online geschaltet wird (und sei es nur ab und an!)
Lediglich die Praxis die keinen (!) Rechner online hat bzw keinen benutzt und auch keine Daten einliest ist nicht betroffen!
Lieben Gruß und drücken wir die Daumen, denn ich kenn keinen Menschen mehr der nicht irgendwo online ist
C. Söllenböhmer

Haben Sie alle USB-Anschlüsse versiegelt oder deaktiviert?
Sind alle Netzwerkdosen unzugänglich und die genutzten Ports aktiv gegen Fremdnutzung abgesichert?

Für USB-Angriffe reichen Sekunden.
Für Netzwerkangriffe ebenfalls. Perfide: Es reicht ein unauffälliger kleiner LTE-Router irgendwo im Kabelwirrwar neben dem 5er-Switch im Sprechzimmer. Da geht Bösmensch per VPN drauf und schaut im Praxisnetz nach spannenden Spielplätzen.

Okay, relaxen wir ein wenig. Solange es niemand auf Sie abgesehen hat, wird das kaum so umgesetzt werden. Für fähige Cracker ist das weder Herausforderung noch anreizbehaftet. Und ganz risikofrei ist es schon lange nicht mehr.

Labor (ist eine alte Version des LADR-Client, da nicht mehr genutzt):
c:\LADRclient\ladrclient.jar contains Log4J-2.x >= 2.0-beta9 (< 2.10.0) _VULNERABLE_