Meltdown und Spectre
Gegen Ende des letzten Jahres sind zwei neue Sicherheitslücken, „Meltdown“ und „Spectre“ aufgetaucht. In dieser Email möchten wir Sie darüber informieren, wie Sie, und hierbei ganz speziell Ihre jtel-Systeme, betroffen sein können.
Wie funktionieren diese Sicherheitslücken?
Meltdown und Spectre basieren auf Schwächen moderner CPUs. Sie ermöglichen schädlichen Codes den Zugriff auf Speicher und Daten weiterer Prozesse, die auf dem System laufen. Potenziell können hier auch vertrauliche Informationen enthalten sein.
Beide Programme beeinflussen alle Systeme, die mit Intel CPUs arbeiten. Nach aktuellem Wissensstand muss ein Angreifer Shell-Access im System erlangen um entweder Meltdown oder Spectre nutzen zu können. Root-Access ist jedoch nicht erforderlich – eine Tatsache, welche diese Sicherheitslücken umso gefährlicher macht. Bitte beachten sie, dass ein Shell-Access auf diversen Wegen erlangt werden kann - Beispiel durch die Nutzung von Web-Apps, die wiederum PHP oder CGI nutzen.
Ist mein jtel-System betroffen?
Derzeit gehen wir davon aus, dass Sie sich keine Sorgen machen müssen.
Die einzige Applikation, die im Normalfall von außerhalb in einer gut geschützten jtel-Installation erreichbar ist, ist der Webserver / Loadbalancer. Weder die jtel Web-Applikation noch der Loadbalancer nutzen irgendeine Technologie im Softwarestack, welche einen Angriff mit Nutzung einer dieser Sicherheitslücken ermöglicht. Und das vor allem, weil die Web-Applikation keinen Shell-Access zur Bereitstellung irgendeiner Funktionalität nutzt.
Falls sie aber besorgt sind, Ihr jtel-System könnte aus ihrem internen Netzwerk heraus angegriffen werden, können wir selbstverständlich einen Patch einplanen.
Bin ich überhaupt betroffen?
Kurz gesagt: ja. Einige der IT-Systeme, die sie betreiben, werden in irgendeiner Form betroffen sein. Wie gefährlich das aber ist, wird von den Systemen und der Software selbst abhängen und wie gut erreichbar sie von außen sind.
Kann ich meine Systeme im Augenblick patchen lassen?
Wie bereits oben erwähnt glauben wir, dass weder Meltdown noch Spectre benutzt werden kann, um ihr jtel-System zu beeinflussen. Dementsprechend haben wir derzeit keine Absichten unsere Kundensysteme zu patchen.
Für Systeme, an denen Modifikationen geplant sind (Neuinstallationen oder Software-Updates):
Bei der nächsten geplanten Überarbeitung ihres jtel-Systems werden wir gleichzeitig einen Patch des Betriebssystems arrangieren. Bitte beachten sie, dass wir hierzu ihre Unterstützung brauchen, um die nötigen Backups / Snapshots machen zu können.
Wenn sie früher einen Patch haben möchten:
Bitte kontaktieren sie uns, damit wir ihnen ein Angebot unterbreiten und eine aktuelle Patch-Lieferung für ihr Betriebssystem vereinbaren können.
