Log4Shell: BSI warnt vor schwerwiegender Sicherheitslücke

Das Bundesamt für Sicherheit in der Informationstechnik weist auf eine kritische Schwachstelle in einer weitverbreiteten Java-Bibliothek namens log4j hin. Die Log4Shell genannte Anfälligkeit mit der Kennung CVE-2021-44228 wird bereits aktiv von Cyberkriminellen ausgenutzt. Im Common Vulnerability Scoring System (CVSS) ist sie mit 10 von 10 möglichen Punkten bewertet. Das BSI wiederum erhöht seine Warnstufe auf “4/Rot”, was der höchsten IT-Bedrohungslage entspricht.

Java-Anwendungen dient log4j als Protokollierungsbibliothek. Laut BSI erlaubt sie eine “performante Aggregation von Protokolldaten einer Anwendung”. Betroffen sind demnach die Version 2.0 bis 2.14.1 – eine fehlerbereinigte Version 2.15.0 liegt bereits vor.

Allerdings wurde per GitHub und auch per Twitter bereits Beispielcode für einen Exploit veröffentlicht. Ein Angreifer ist laut BSI unter Umständen in der Lage, Schadcode aus der Ferne einzuschleusen und auszuführen. Der Fehler bei der Verarbeitung bestimmter Zeichenfolgen auf, die ein Angreifer beispielsweise in den HTTP User Agent einbauen kann. Darüber hinaus sind öffentlich Skripte verfügbar, mit denen Hacker verwundbare Systeme aufspüren können – was Forschern zufolge bereits geschieht.

Angreifbar sind unter Umständen aus dem Internet erreichbare Java-Anwendungen, die Nutzeranfragen mithilfe von log4j protokollieren. Das BSI geht davon aus, dass auch interne Systeme angreifbar sind, sobald diese “externe Daten entgegennehmen oder verarbeiten”.

Produkte, auf die diese Kriterien zutreffen, kommen unter anderem von VMware, Apache und UniFi. Eine nicht vollständige Liste mehr als 140 Herstellern, die sich zu betroffenen und auch nicht betroffenen Produkten äußern, ist auf GitHub verfügbar.

In einem Update seiner Sicherheitswarnung weist das BSI darauf hin, dass sich das Ausmaß der Bedrohungslage noch nicht abschließend feststellen lässt. “Die Reaktions- und Detektionsfähigkeit des IT-Betriebes ist kurzfristig geeignet zu erhöhen, um angemessen die Systeme überwachen zu können beziehungsweise zu reagieren. Aus mehreren CERT-Quellen erreichten das BSI Benachrichtigungen über weltweite Massenscans und versuchte Kompromittierungen. Es gibt bereits erste Meldungen über erfolgreiche Kompromittierungen (bislang unter anderem mit Kryptominer). Es sind zudem Ausnutzungen der Schwachstelle zu beobachten, die kein explizites Nachladen eines Schadcodes benötigen und einen maliziösen Code direkt in der Abfrage enthalten. Dies gefährdet auch Grundschutz-konforme Systeme, die in der Regel keine Verbindung ins Internet aufbauen können.”
“Neben erfolgreichen Kompromittierungen mit Kryptominern gibt es erste Hinweise darauf, dass die Schwachstelle auch von Botnetzen ausgenutzt wird. Die Wahrscheinlichkeit ist groß, dass die mit dieser Schwachstelle in Verbindung stehenden Angreiferaktivitäten in den nächsten Tagen deutlich zunehmen werden”, heißt es in einem weiteren Update des BSI zur Bedrohungslage.

Der Softwareentwickler Filippo Valsorda weist zudem darauf hin, die Bibliothek log4j, die als Open Source vom Apache-Projekt verwaltet wird, von einem Open-Source-Entwickler als Freizeitprojekt betreut wird. Trotz der hohen Verbreitung von Open-Source-Software in kommerziellen Anwendungen sei es vielen Entwicklern, die auch wichtige Open-Source-Software wie log4j betreuten, weiterhin nicht möglich, mit dieser Arbeit ihren Lebensunterhalt zu verdienen. “Open-Source-Software ist der Motor des Internets und damit auch der Wirtschaft. Dies ist eine unbestrittene Tatsache über die Realität im Jahr 2021. Und dennoch ist die Rolle des Open-Source-Betreuers nicht von einem Hobby zu einem richtigen Beruf gereift.”