Vergangenes Wochenende (11. & 12. Dezember) rief das Bundesamt für Sicherheit in der Informationstechnik (BSI) zum ersten Mal in seiner Geschichte die Warnstufe Rot aus. Diese ist die höchste von vier Stufen, welche das BSI für seine Cyber-Sicherheitswarnungen nutzt. Der Grund dafür war eine wenige Tage vorher bekannt gewordene Schwachstelle in der Java-Logging Bibliothek Log4j. Dies ist ein „Programmiergerüst“ oder Framework aus der objektorientierten Programmierung, welches dazu dient, Fehler und Infomeldungen einer Anwendung zu priorisieren und an ein Loggingsystem weiterzuleiten. Als eine der bekanntesten Logging-Bibliotheken stellt Log4j eine Art Standard in diesem Bereich dar und wird von einer großen Anzahl an Softwareprodukten genutzt.
Die nun entdeckte Schwachstelle ist besonders kritisch, da sie durch Eingabe eines „jindi“-Befehls dazu genutzt werden kann, Code von einem Server abzufragen und auszuführen. Durch diese Schwachstelle, auch bekannt als „Log4Shell“, kann so Schadsoftware auf den entsprechenden Systemen ausgeführt werden. Erste Angreifer nutzen dies etwa für das Errechnen von Kryptowährung oder das Eingliedern von befallenen Systemen in Botnetze.
Die Entwickler von Apache haben bereits mehrere Patches für Log4j herausgebracht, um dem Missbrauch der Schwachstelle entgegenzuwirken. Damit ist das Problem aber noch lange nicht gelöst, es müssen auch alle Produkte, welche auf Log4j zurückgreifen angepasst werden. Aus diesem Grund sollten Nutzer*innen in den nächsten Tagen auf Updates für die von ihnen verwendete Produkte achten, welche dieses Problem beheben sollen.
Welche Auswirkungen die Schwachstelle am Ende haben wird, lässt sich zum jetzigen Zeitpunkt noch nicht erahnen. Es lässt sich nur hoffen, dass viele Unternehmen ihre Produkte zeitnah anpassen und so Angriffe in den folgenden Wochen und Monaten verhindern können. Denn eines ist klar, nicht nur die Produkthersteller und Sicherheitsfirmen arbeiten jetzt unter Hochdruck, sondern auch diejenigen, welche die Schwachstelle für ihre eigenen Zwecke missbrauchen wollen.
Welche Auswirkungen die Schwachstelle am Ende haben wird, lässt sich zum jetzigen Zeitpunkt noch nicht erahnen. Es lässt sich nur hoffen, dass viele Unternehmen ihre Produkte zeitnah anpassen und so Angriffe in den folgenden Wochen und Monaten verhindern können. Denn eines ist klar, nicht nur die Produkthersteller und Sicherheitsfirmen arbeiten jetzt unter Hochdruck sondern auch diejenigen, welche die Schwachstelle für ihre eigenen Zwecke missbrauchen wollen.
Weitere Informationen zur Schwachstelle und die Empfehlungen vom BSI finden Sie auf der Webseite des BSI und im vom BSI veröffentlichten Paper