In der beliebten Java-Bibliothek Log4j wurde eine Zero-Day-Lücke entdeckt, die von Angreifern sofort ausgenutzt werden kann. Sicherheitsexperten stufen die Lage als extrem kritisch ein und empfehlen, Systeme abzuschalten, Verbindungen zu blockieren oder genau zu überwachen. Unter diesem RSS-Feed werden wir Sie laufend mit neuesten Informationen in Bezug auf die von uns vertriebenen Softwarelösungen versorgen.

Die am Freitag bekannt gewordene Sicherheitslücke CVE-2021-44228 in der weit verbreiteten Java-Bibliothek Log4j (betrifft Versionen 2.0 bis 2.14.1) ist gefährlicher als zunächst vermutet. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) hat nun die höchste Warnstufe ausgegeben, da schadhafte Codes direkt in der Abfrage und ohne explizites Nachladen von Schadsoftware ausgeführt werden können.

Nach ersten erfolgreichen Kompromittierungen rät das BSI zu drastischen Massnahmen: Nicht zwingend benötigte Systeme sollen abgeschaltet, Netzwerke getrennt und Inhalte wo immer möglich durch statische Werte überschrieben werden. Für kritische Systeme empfiehlt das BSI ein umfangreiches Logging sowie eine engmaschige Überwachung. Zur Verfügung stehende Updates sollen sofort eingespielt werden.

Das genaue Ausmass der Sicherheitslücke ist zwar noch nicht bekannt, allerdings scheinen Internet-Dienste vieler namhafter Firmen wie Amazon, Google und Apple betroffen zu sein. Konkrete Gefahr besteht, wenn Log4j dazu verwendet wird, eine vom Angreifer kontrollierte Zeichenkette ‒ etwa den HTTP User Agent ‒ zu protokollieren. Dies kann zum Beispiel bei Mitarbeitern im Home Office der Fall sein, die sich via VPN ins Firmennetzwerk einwählen. Doch auch Systeme, die keine Verbindung ins Internet aufbauen, sind potentiell gefährdet.

Weitere Informationen zu den von uns vertriebenen Produkten finden Sie unter diesem RSS-Feed.