Is PRTG affected by CVE-2021-44228

English:

In response to the vulnerability in the Apache Log4j library, also known as Log4Shell, we at Paessler can confirm that our software Paessler PRTG Network Monitor and Paessler PRTG Hosted Monitor (as well as the underlying infrastructure) does not use this Apache logging component and is therefore not affected.

We are also currently conducting a thorough investigation of our internal infrastructure as well as staying in close contact with the manufacturers to ensure that all our services stay secure.

The Elastic Search Component of the ITOPs Board bundled in our Paessler PRTG Enterprise Monitor Product is potentially affected by CVE-2021-44228

Important notice: The following guidance only applies to Paessler PRTG Enterprise Monitor. Paessler PRTG Network Monitor, Paessler PRTG Hosted Monitor, and other products of Paessler are not subject to the problem described below.

If ITOps Board is configured as outlined in our configuration guide (ITOps Board), it includes a deployment of Elasticsearch that runs a potentially vulnerable version of Log4j2 on top of JDK 11.

According to the currently available information, such as AWS Advisory AWS-2021-006, we have concluded that using Log4j2 in the included version on JDKs after 8u121 or 8u191 (including JDK 11 and later) seems to mitigate the issue. However, this may only be a partial mitigation.

The recommended solution is to upgrade Log4j2 to 2.17+. As a precaution, any Log4j2 versions that are older than 2.17 should be considered to be affected regardless of the JDK distribution or version used.

Recommended solution

We've released an updated version 2.11.3 of ITOps Board, that includes elastic search version 6.8.22. Please update as soon as possible. You can find all the needed files here.

Additional methods

According to the developers of Elasticsearch, you can:

1. Update to a JDK later than 8 to achieve at least partial mitigation.
2. Follow the instructions regarding Elasticsearch from the developer and upgrade to Elasticsearch 6.8.22, you can find the download link here: elasticsearch-6-8-22

Furthermore, you can also mitigate the vulnerability via one of the following methods:

1. Disable the formatMessageLookup as follows:
   1. Stop the service Elasticsearch.
   2. Add -Dlog4j2.formatMsgNoLookups=true to the log4j part of C:\Program Files\Elasticsearch\elasticsearch\config\jvm.options.
   3. Start the service Elasticsearch again.
2. Manually update Log4j2 to version 2.17+ as follows:
   1. Obtain a version of log4j later than 2.17 from the developers on https://logging.apache.org/log4j/2.x/download.html
   2. Stop the service Elasticsearch.
   3. Deploy an updated version of log4j-1.2-api-2.xx.y, log4j-api-2.xx.y, and log4j-core-2.xx.y to C:\Program Files\Elasticsearch\elasticsearch\lib and remove the current version 2.11.0.
   4. Start the service Elasticsearch again.
3. Only if the website of the ITOpsboard does not work after the changes:
   1. Reset the IIS settings of the ITOpsboard after showing a failure as described here.

German:

Als Reaktion auf die Sicherheitslücke in der Apache Log4j Bibliothek, auch bekannt als Log4Shell, können wir bei Paessler bestätigen, dass unsere Software Paessler PRTG Network Monitor und Paessler PRTG Hosted Monitor (sowie die gesamte unterliegende Infrastruktur) diese Apache Logging Komponente nicht verwendet und daher nicht betroffen ist.

Wir führen derzeit eine gründliche Untersuchung unserer internen Infrastruktur durch und stehen in engem Kontakt mit den Herstellern, um zu garantieren, dass alle unsere Dienste sicher bleiben.

Die Elastic Search-Komponente des ITOPs Boards, das in unserem Paessler PRTG Enterprise Monitor Produkt enthalten ist, ist möglicherweise von CVE-2021-44228 betroffen.

Wichtiger Hinweis: Die folgende Anleitung gilt ausschließlich für Paessler PRTG Enterprise Monitor. Paessler PRTG Network Monitor, Paessler PRTG Hosted Monitor und andere Produkte von Paessler sind nicht von dem unten beschriebenen Problem betroffen.

Wenn das ITOps Board wie in unserer Konfigurationsanleitung (ITOps Board) konfiguriert ist, enthält es eine Instanz von Elasticsearch, die eine potenziell anfällige Version von Log4j2 auf JDK 11 beinhaltet.

Mit den derzeitig verfügbaren Informationen, wie z.B. AWS Advisory AWS-2021-006, sind wir zu dem Schluss gekommen, dass die Verwendung von Log4j2 in der mitgelieferten Version auf JDKs nach 8u121 oder 8u191 (einschließlich JDK 11 und später) das Problem zu entschärfen scheint. Dies ist jedoch möglicherweise nur ein Teilschritt zur kompletten Mitigation.

Die empfohlene Lösung ist ein Upgrade von Log4j2 auf 2.17+. Als Vorsichtsmaßnahme sollten alle Log4j2-Versionen, die älter als 2.17 sind, als betroffen angesehen werden, unabhängig von der verwendeten JDK-Distribution oder Version.

Empfohlene Lösung

Bitte updaten Sie auf version 2.11.3 von ITOps Board, welche die elastic search version 6.8.22 enthält. Alle benötigten Installationdateien finden Sie hier.

Zusätzliche Empfehlungen

Um der Empfehlung von Elasticsearch nachzugehen:

1. Aktualisieren Sie auf eine JDK Version über 8 um zumindest teilweise Gegenmaßnahmen einzuleiten.
2. Befolgen Sie die Anweisungen des Herstellers Elasticsearch und aktualisieren Sie auf Elasticsearch 6.8.22, hier kommen Sie direkt zu der Download Seite des Herstellers: elasticsearch-6-8-22.

Darüber hinaus können Sie die Schwachstelle auch mit einer der folgenden Schritte absichern:

1. Deaktivieren Sie formatMessageLookup wie folgt:
   1. Stoppen Sie den Dienst Elasticsearch.
   2. Fügen Sie die Zeile -Dlog4j2.formatMsgNoLookups=true zu dem log4j Teil unter "C:\Program Files\Elasticsearch\elasticsearch\config\jvm.options" hinzu.
   3. Starten Sie den Service Elasticsearch erneut.
2. Updaten Sie Log4j2 auf Version 2.17+ wie folgt:
   1. Laden Sie eine log4j Version über 2.17 von den Entwicklern selbst: https://logging.apache.org/log4j/2.x/download.html
   2. Stoppen Sie den Dienst Elasticsearch.
   3. Updaten Sie die Dateien log4j-1.2-api-2.xx.y, log4j-api-2.xx.y, and log4j-core-2.xx.y im Verzeichnis C:\Program Files\Elasticsearch\elasticsearch\lib und entfernen Sie Version 2.11.0.
   4. Starten Sie den Dienst Elasticsearch erneut.
3. Ausschließlich wenn die ITOpsboard-Webseite nach den Änderungen nicht korrekt aufrufbar ist:
   1. Setzen Sie die IIS Einstellungen des ITOpsboard zurück, wie hier beschrieben.