Sicherheitslücke | Java Log4j aka Log4Shell

Aktuelle News vom BSI finden Sie hier

Erklärung

Am 9. Dezember 2021 wurde eine schwere Remote Code Execution Schwachstelle in Apaches Log4J festgestellt. Bei Log4J handelt es sich um ein weit verbreitetes Logging System, das von Entwicklern für Web- und Serverapplikationen, die auf Java und anderen Programmiersprachen basieren, genutzt wird. Die Schwachstelle betrifft einen großen Teil von Services und Applikationen auf Servern, wodurch sie extrem gefährlich ist und die neuesten Patches für diese Applikationen dringend benötigt werden. Sophos konnte auf breiter Fläche feststellen, das Angreifer versuchen die Schwachstelle auszunutzen.

Die Schwachstelle macht es jedem Angreifer, der in der Lage ist Text in die Log-Nachrichten, oder Log-Nachrichten-Parameter in die Server-Logs zu injizieren, möglich Code von einem entfernten Server nachzuladen. Der angegriffene Server führt diesen Code anschließend über Calls zum Java Naming and Directory Interface (JNDI) aus. JNDI interagiert mit einer Vielzahl an Netzwerkdiensten, inklusive Lightweight Directory Access Protocol (LDAP), Domain Name Service (DNS), Javas Remote Interface (RMI) und dem Common Object Request Broker (COBRA). Sophos konnte feststellen, dass LDAP, DNS und RMI Ziele von Angriffen waren, bei denen eine URL die auf diese Dienste getaggt war an einen externen Server weitergeleitet werden.

Patches für Log4j

Es existieren zwar Möglichkeiten mit denen Kunden die Schwachstelle eingrenzen können, die beste Lösung des Problems ist allerdings ein Upgrade auf die gepatchte Version, die mit log4j 2.15.0 bereits von Apache bereitgestellt worden ist.

Ein weiterer Log4j Bug, CVE-2021-45046, zwang Apache dazu ein weiteres Update für Log4j bereitzustellen, von 2.15.0 zu 2.16.0. Glücklicherweise erlaubt dieser Bug weder Remote Code Execution, noch das Abfliessen von Daten. Der Bug ermöglicht allerdings eine Denial-of-Service-Attacke, die zum festhängen der Prozesse führen kann.

Unglücklicherweise wirken die Möglichkeiten zur Schwachstellen-Eingrenzung für 2.15.0 (eine spezielle Option per Kommandozeile, oder über eine Umgebungsvariable setzen) nicht gegen CVE-2021-45046. Um sich gegen CVE-2021-45046 zu schützen, müssen Sie zwingend auf Log4j Version 2.16.0 patchen.

Sophos empfiehlt, sofern Sie mit dem Patchen bereits begonnen haben, alle noch ungepatchten Maschinen auf Version 2.16.0 zu updaten, bevor Sie die Maschinen mit 2.15.0 updaten. Dadurch stellen Sie sicher, dass die minimale Version 2.15.0 ist und Sie vor dem kritischen CVE-2021-44228 geschützt sind.

Welche unserer Partner-Produkte sind betroffen?