| Produkt(e): | Alle | ||
| Version(en): | N\A | ||
| Umgebung: | N\A | ||
| Produktbereich: | Sicherheit | ||
| Produktunterbereich: | Allgemein |
Die folgende Veröffentlichung ist eine Übersetzung auf dem Englischem Original:
Bentley Security Update December 2021 - Products - Wiki - Product Communities - Bentley Communities
Aus organisatorischen Gründen, wird dieses Wiki nicht immer zeitnah aktualisiert, wenn sich im Original Englisch-sprachigem Wiki zwischenzeitlich Neuerungen ergeben.
Bitte prüfen Sie auch immer das Englische Wiki auf Updates
Ein Update zur Apache Log4j-Sicherheitslücke von unserem Chief Information Security Officer
Zusätzlich zur Überwachung auf Eindringlinge haben unsere Sicherheitsteams alle unsere Produkte analysiert, um sicherzustellen, dass sie nicht kompromittiert worden sind. Wenn wir eine Schwachstelle in unseren Produkten und Systemen feststellen, werden wir die betroffenen Benutzer sofort benachrichtigen.
Wir haben unser Produktportfolio überprüft, um die oben genannten Punkte zu aktualisieren. Diese Überprüfung ergab, dass drei Dienste für die (jetzt zwei) log4j-bezogenen CVEs anfällig waren, die wir in unseren Produktionsumgebungen erfolgreich entschärft haben. Wir sehen weiterhin keine Anzeichen für eine Ausnutzung.
Die betroffenen Dienste waren:
Wie bereits erwähnt, wurden die Schwachstellen in diesen Diensten entschärft, und es gibt keine Hinweise auf eine Ausnutzung. Für die Benutzer dieser von Bentley gehosteten Dienste besteht kein Handlungsbedarf.
Darüber hinaus haben wir bisher bestätigt, dass kein von Bentley installiertes Desktop- oder Server-Produkt (vor Ort) von den Anwendern verlangt, irgendwelche Maßnahmen zur Behebung dieser CVEs zu ergreifen. Wir werden die Situation weiter beobachten und bei Bedarf entsprechende Updates bereitstellen.
Tom Cibelli
Verantwortlicher für Informationssicherheit
Bentley Systems
Am 9. Dezember 2021 wurde eine "Zero Day"-Schwachstelle in der Java-Protokollierungsbibliothek "log4j" gemeldet, die darauf hindeutet, dass die Bibliothek für böswillige Angriffe mit Remote Code Execution (RCE) anfällig sein könnte.
Nachdem Bentley benachrichtigt wurde, haben unsere Sicherheitsexperten eine Untersuchung eingeleitet, um festzustellen, ob dieser Angriff unsere Systeme, Produkte und/oder Dienste beeinträchtigt hat. Wir freuen uns, Ihnen mitteilen zu können, dass Bentley zum jetzigen Zeitpunkt keine Beweise dafür gefunden hat, dass unsere Systeme durch diesen Angriff beeinträchtigt wurden oder dass ein Eindringen stattgefunden hat.
Bentley wendet bei all seinen Systemen und Diensten eingehende Schutzmaßnahmen an und setzt dabei Technologien ein, die Zero-Day-Exploits aufspüren und entschärfen können, darunter Endpoint Detection and Response (EDR), heuristische und signaturbasierte Antivirensoftware sowie eine kontinuierliche Netzwerküberwachung. Diese Praktiken werden eingesetzt, um sicherzustellen, dass unsere Benutzer während eines versuchten Cyberangriffs mit voller Kapazität weiterarbeiten können, und zwar in der Gewissheit, dass ihre Arbeit geschützt ist.
Zusätzlich zur Überwachung auf Eindringlinge haben unsere Sicherheitsteams jedes unserer Produkte analysiert, um sicherzustellen, dass sie nicht kompromittiert worden sind. Wenn wir eine Verletzung unserer Produkte und Systeme feststellen, werden wir die betroffenen Benutzer sofort benachrichtigen.
Das Informationssicherheitsteam von Bentley wird die Entwicklung dieser Situation weiterhin aktiv überwachen und darauf reagieren, wie es dies bei allen Sicherheitsbedenken tun würde. Die Benutzer werden gebeten, unser Common Vulnerability Exposure Programm für kontinuierliche Updates zu verfolgen.
Als Bentley-Benutzer können Sie sicher sein, dass der Schutz Ihrer Daten für uns oberste Priorität hat.
Tom Cibelli
Verantwortlicher für Informationssicherheit
Bentley Systems