17.12.2021 | JAVA Log4j Sicherheitslücke
Eine gravierende Sicherheitslücke gefährdet weltweit Millionen Online-Anwendungen und Apps.
Was ist passiert?
Die Sicherheitslücke betrifft die Programmiersprache Java, die in zahlreichen Web-Anwendungen und Apps zum Einsatz kommt. Konkret geht es um einen Baustein namens Log4j für die Protokollierung von Aktivitäten, beispielsweise auf Servern – Experten sprechen von einer Bibliothek. Programmierer nutzen solche Bibliotheken häufig und binden sie mit geringem Aufwand in ihre Software ein. Aufgrund einer Sicherheitslücke in Log4j können Angreifer ihren eigenen Code auf Servern ausführen, die diese Bibliothek einsetzen – und damit das System vollständig übernehmen. Ein Programm, das den Angriffsweg demonstriert, ist online verfügbar, Hacker können es mit geringem Aufwand für ihre eigenen Zwecke anpassen.
Was können Sie tun?
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft das Risiko durch die Sicherheitslücke auf der sogenannten CVSS-Skala mit 10 ein, dem höchstmöglichen Wert -Warnstufe Rot! Die Detektion von betroffenen Systemen gestaltet sich momentan schwierig, da es intransparent ist, in welcher Software die Bibliothek Log4j zum Einsatz kommt. Dazu kommt, dass Log4j mehr als eine Sicherheitslücke ist. Es handelt sich um einen Programmierfehler, der massenhaft weitere Lücken in Softwareprodukten und Geräten erzeugt.
Wichtige Handlungsempfehlungen:
- Betroffene Stellen ausmachen
- Abwehrmaßnahmen ergreifen
- Hinweisen des BSI folgen
- Alle verwundbaren Systeme auf eine Kompromittierung hin untersuchen
- Potenzielle Einfallstore schließen
- Detektions- und Reaktionsfähigkeiten erhöhen, um die eigenen Systeme überwachen zu können
- Updates für einzelne Produkte einspielen, sobald diese verfügbar sind
Informieren Sie sich direkt beim BSI über aktuelle Maßnahmen. Wir empfehlen Ihnen die Webseiten der jeweiligen Hersteller aktiv im Auge zu behalten. Hier haben wir Ihnen einige weiterführende Informationen zu verschiedenen betroffenen Herstellern verlinkt.
