Unifi Network Application updaten - 0-day-Lücke

Das Update gibt es auch für Protect

Läuft hier schon

Bestimmt wichtig.

Ist ein RC und nicht Final, für die, die nicht im EA sind und es nicht angeboten wird.

Zitat von somm

Das Update gibt es auch für Protect

Kanns nirgends finden das Update für Protect

Wurde mir als Update angezeigt dafür bekomme ich das vom Controller nicht 😅

Das ging schnell, nun ist es sogar Final und für alle zugänglich.

Der Patch ist super wichtig, daher schnellstmöglich updaten.

Kann es sein das der Patch, vom Controller, auch auf die Unifi Device's gespielt wird?

Nach Installation und neu Start des Controller würde alle Geräte Adopt?

Ist mir so noch nie aufgefallen.

Nochmals ein Hinweis das Update schnellstmöglich einzuspielen.

Diese Lücke wird Grade extrem ausgenutzt.

Die Bösen Jungs scannen das Netz um die Lücke aufzuspüren und nutzen sofort ihre Gelegenheit.

Ist nur zu hoffen, und hier nochmals extremen Dank an Unifi für die super schnelle Reaktion, das andere Hersteller schnellstmöglich nachziehen. Ich denke da an, da hier oft verwendet, AVM, Draytek, Synology etc.

Habe es auch eben installiert:

Unpacking unifi (6.5.54-16676-1) over (6.4.54-16067-1) ...

Danke eben in der UDM angeboten bekommen und installiert

Liebe Mitleser,

Ich habe eine Frage zu den Sicherheitsupdates der Netzwerke mit 6.5.54 und der Protect-Version 1.20.1

Ich bin ein bisserl unsicher!

Wenn ich über unifi.ui.com auf meine beiden Standorte, einmal UDM-pro und einmal Cloudkey Gen2 plus zugreife, habe ich bei beiden die Version 6.5.54 angezeigt bekommen. Entsprechend Protect: 1.20.1

Ich habe an den Standorten jeweils automatische Updates jede Nacht eingestellt.

Sind meine Netzwerke jetzt sicher? Die Einstellung für den Release Channel steht beide Male auf „Official“.

Bin ich denn jetzt auf dem neuesten und damit gefixten Stand?

Oder muss ich noch irgendwas manuell in der shell installieren?

Gibt es unterschiedliche 6.5.54 bzw. 1.20.1 releases?

In Unifi OS sehe ich bei Network und bei Protect als Status jeweils an beiden Standorten und für beide Bereiche (Netzwerk und Protect) „Up to date“.

Siehe hier:

Vielen Dank für jeden Tipp.

mijog

Neuer als 6.5.54 gibt es nicht

Bei Facebook habe ich gelesen, dass man nach log4j-core* suchen soll:

find / -type f -name 'log4j-core*'

Ergebnis auf meine Controller:

/usr/lib/unifi/lib/log4j-core-2.15.0.jar
/mnt/.rofs/usr/lib/unifi/lib/log4j-core-2.13.3.jar
/mnt/.rwfs/usr/lib/unifi/lib/log4j-core-2.15.0.jar

Bin mir aber nicht ganz sicher, wie das zu bewerten ist.

Bei Github gibt es eine unvollständige Liste der betr. Firmen / Unternehmen:

Log4jAttackSurface/UniFi.md at master · YfryTchsGD/Log4jAttackSurface · GitHub

Zitat von razor

Bin mir aber nicht ganz sicher, wie das zu bewerten ist.

Also so wie ich es verstanden habe, ist alles vor V2.15 betroffen...

Zitat von defcon

Also so wie ich es verstanden habe, ist alles vor V2.15 betroffen...

Das habe ich soweit auch verstanden, allerdings bin ich mir ob des Suchergebnisses auf meinem CloudKey nicht sicher, was ich davon halten soll.

Mein Key ist offline - also ist das aus meiner Sicht verschmerzbar. Dennoch würde ich gern wissen, wie es nun ist.

Hat noch jemand einen CloudKey und kann die Suche ausführen und das Ergebnis mitteilen: RE: Unifi Network Application updaten - 0-day-Lücke?

Danke.

Bin ich mal gespannt was da alles passieren wird...

Meine ursprüngliche Frage ist aufgetaucht, weil razor oben in seinem Kommentar zum Problem die neue Netzwerk-SW 6.5.54-16676-1 als die Update-Version stehen hatte.

Ich habe da nirgends was anderes gefunden, wie 6.5.54 ohne zusätzliche Spezifikation.

Vielleicht sollte ich nicht hysterisch werden, oder?