Log4Shell: BSI warnt vor schwerwiegender Sicherheitslücke

Das Bundesamt für Sicherheit in der Informationstechnik weist auf eine kritische Schwachstelle in einer weitverbreiteten Java-Bibliothek namens log4j hin. Die Log4Shell genannte Anfälligkeit mit der Kennung CVE-2021-44228 wird bereits aktiv von Cyberkriminellen ausgenutzt. Im Common Vulnerability Scoring System (CVSS) ist sie mit 10 von 10 möglichen Punkten bewertet. Das BSI wiederum erhöht seine Warnstufe auf “4/Rot”, was der höchsten IT-Bedrohungslage entspricht.

Java-Anwendungen dient log4j als Protokollierungsbibliothek. Laut BSI erlaubt sie eine “performante Aggregation von Protokolldaten einer Anwendung”. Betroffen sind demnach die Version 2.0 bis 2.14.1 – eine fehlerbereinigte Version 2.15.0 liegt bereits vor.

Allerdings wurde per GitHub und auch per Twitter bereits Beispielcode für einen Exploit veröffentlicht. Ein Angreifer ist laut BSI unter Umständen in der Lage, Schadcode aus der Ferne einzuschleusen und auszuführen. Der Fehler bei der Verarbeitung bestimmter Zeichenfolgen auf, die ein Angreifer beispielsweise in den HTTP User Agent einbauen kann. Darüber hinaus sind öffentlich Skripte verfügbar, mit denen Hacker verwundbare Systeme aufspüren können – was Forschern zufolge bereits geschieht.

Angreifbar sind unter Umständen aus dem Internet erreichbare Java-Anwendungen, die Nutzeranfragen mithilfe von log4j protokollieren. Das BSI geht davon aus, dass auch interne Systeme angreifbar sind, sobald diese “externe Daten entgegennehmen oder verarbeiten”.

Produkte, auf die diese Kriterien zutreffen, kommen unter anderem von VMware, Apache und UniFi. Eine nicht vollständige Liste mehr als 140 Herstellern, die sich zu betroffenen und auch nicht betroffenen Produkten äußern, ist auf GitHub verfügbar.

In einem Update seiner Sicherheitswarnung weist das BSI darauf hin, dass sich das Ausmaß der Bedrohungslage noch nicht abschließend feststellen lässt. “Die Reaktions- und Detektionsfähigkeit des IT-Betriebes ist kurzfristig geeignet zu erhöhen, um angemessen die Systeme überwachen zu können beziehungsweise zu reagieren. Aus mehreren CERT-Quellen erreichten das BSI Benachrichtigungen über weltweite Massenscans und versuchte Kompromittierungen. Es gibt bereits erste Meldungen über erfolgreiche Kompromittierungen (bislang unter anderem mit Kryptominer). Es sind zudem Ausnutzungen der Schwachstelle zu beobachten, die kein explizites Nachladen eines Schadcodes benötigen und einen maliziösen Code direkt in der Abfrage enthalten. Dies gefährdet auch Grundschutz-konforme Systeme, die in der Regel keine Verbindung ins Internet aufbauen können.”
“Neben erfolgreichen Kompromittierungen mit Kryptominern gibt es erste Hinweise darauf, dass die Schwachstelle auch von Botnetzen ausgenutzt wird. Die Wahrscheinlichkeit ist groß, dass die mit dieser Schwachstelle in Verbindung stehenden Angreiferaktivitäten in den nächsten Tagen deutlich zunehmen werden”, heißt es in einem weiteren Update des BSI zur Bedrohungslage.

Der Softwareentwickler Filippo Valsorda weist zudem darauf hin, die Bibliothek log4j, die als Open Source vom Apache-Projekt verwaltet wird, von einem Open-Source-Entwickler als Freizeitprojekt betreut wird. Trotz der hohen Verbreitung von Open-Source-Software in kommerziellen Anwendungen sei es vielen Entwicklern, die auch wichtige Open-Source-Software wie log4j betreuten, weiterhin nicht möglich, mit dieser Arbeit ihren Lebensunterhalt zu verdienen. “Open-Source-Software ist der Motor des Internets und damit auch der Wirtschaft. Dies ist eine unbestrittene Tatsache über die Realität im Jahr 2021. Und dennoch ist die Rolle des Open-Source-Betreuers nicht von einem Hobby zu einem richtigen Beruf gereift.”

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die Redaktionen von Silicon.de und ZDNet.de. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Backup-Lücken in der Cloud

Für Backup und Recovery ihrer Daten sind SaaS-Anwenderunternehmen selbst verantwortlich. Verlassen sie sich nur auf…

7 Stunden ago

Wie gut ist Deutschland gegen Cyberangriffe gerüstet?

Potsdamer Konferenz für Nationale CyberSicherheit 2022 des Hasso-Plattner-Instituts.

8 Stunden ago

Prävention von Post-Quantum-Cyber-Attacken

BlackBerry unterstützt quantenresistente sichere Boot-Signaturen für die kryptoagilen S32G-Fahrzeugnetzwerkprozessoren von NXP Semiconductors.

8 Stunden ago

BSI veröffentlich Whitepaper zur Prüfbarkeit von KI-Systemen

Methode zur Erfassung der Prüfbarkeit der IT-Sicherheit von KI-Systemen.

13 Stunden ago

Blick in die Blackbox: Transparente Künstliche Intelligenz

Funktionsweisen von KI-Anwendungen für Autonomen Fahren oder in der Industrie 4.0 müssen transparent und nachvollziehbar…

15 Stunden ago

Silicon Security Day: Künstliche Intelligenz in der Cyber-Security

Cyberangreifer setzen zunehmend KI als Waffe ein, um ihre Angriffe noch zielführender zu starten –…

3 Tagen ago