Kundenservice Veranstaltungen: 02234-9894940
Kundenservice Bücher: 089-21837921
Aboservice Zeitschriften: 089-21837110

Warnstufe Rot für IT-Sicherheit – kritische Schwachstelle Log4Shell

Die kritische Schwachstelle (Log4Shell) in der weit verbreiteten Java-Bibliothek Log4j führt nach Einschätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) zu einer extrem kritischen Bedrohungslage. Das BSI hat daher seine bestehende Cyber-Sicherheitswarnung auf die Warnstufe Rot hochgestuft. Ursächlich für diese Einschätzung ist die sehr weite Verbreitung des betroffenen Produkts und die damit verbundenen Auswirkungen auf unzählige weitere Produkte. Die Schwachstelle ist zudem trivial ausnutzbar, ein Proof-of-Concept ist öffentlich verfügbar. Eine erfolgreiche Ausnutzung der Schwachstelle ermöglicht eine vollständige Übernahme des betroffenen Systems. Dem BSI sind welt- und deutschlandweite Massen-Scans sowie versuchte Kompromittierungen bekannt. Auch erste erfolgreiche Kompromittierungen werden öffentlich gemeldet. 

Das ganze Ausmaß der Bedrohungslage ist nach Einschätzung des BSI aktuell nicht abschließend feststellbar. Zwar gibt es für die betroffene Java-Bibliothek Log4j ein Sicherheits-Update, allerdings müssen alle Produkte, die Log4j verwenden, ebenfalls angepasst werden. Eine Java-Bibliothek ist ein Software-Modul, das zur Umsetzung einer bestimmten Funktionalität in weiteren Produkten verwendet wird. Es ist daher oftmals tief in der Architektur von Software-Produkten verankert. Welche Produkte verwundbar sind und für welche es bereits Updates gibt, ist derzeit nicht vollständig überschaubar und daher im Einzelfall zu prüfen. Es ist zu erwarten, dass in den nächsten Tagen weitere Produkte als verwundbar erkannt werden. 

Das BSI empfiehlt insbesondere Unternehmen und Organisationen, die in der Cyber-Sicherheitswarnung skizzierten Abwehrmaßnahmen umzusetzen. Darüber hinaus sollten die Detektions- und Reaktionsfähigkeiten kurzfristig erhöht werden, um die eigenen Systeme angemessen überwachen zu können. Sobald Updates für einzelne Produkte verfügbar sind, sollten diese eingespielt werden. Darüber hinaus sollten alle Systeme auf eine Kompromittierung untersucht werden, die verwundbar waren. 

Auch Bitkom-Präsident Achim Berg hat sich inzwischen warnend zur Schwachstelle geäußert: „Wenn das Bundesamt für Sicherheit in der Informationstechnik Samstagnacht die Warnstufe Rot ausruft, dann ist die Bedrohungslage ernst, sehr ernst. Mitte des Jahres führten bereits die Schwachstellen in lokalen Exchange Servern zu weltweiten Massen-Scans. Kriminelle suchten binnen Stunden auf der ganzen Welt nach verwundbaren Servern. Allein in Deutschland waren Unternehmen quer durch alle Branchen schlagartig angreifbar. Auch damals lautete die Einschätzung des BSI: Warnstufe Rot. 

Umso mehr gilt es, die kritische Schwachstelle (Log4Shell) in der weit verbreiteten Java-Bibliothek Log4j überaus ernst zu nehmen. Cyberkriminelle versuchen bereits aktiv, die Schwachstelle auszunutzen. Welt- und deutschlandweit erfolgen derzeit Massen-Scans sowie versuchte Kompromittierungen. Herstellerseitig muss schnellstmöglich in Erfahrung gebracht werden, wo überall die Java-Bibliothek zum Einsatz kommt und die Sicherheitsupdates entsprechend ausgerollt werden. Anwenderseitig gilt es, betroffene Systeme zu identifizieren, Abwehrmaßnahmen zu ergreifen und dafür den aktuellen Hinweisen des BSI zu folgen. Gleichzeitig gilt es, alle verwundbaren Systeme auf eine Kompromittierung hin zu untersuchen, um auch weitere potenzielle Einfallstore zu schließen.“

Berg-Achim-Bitkom_600 

Foto: Bitkom-Präsident Achim Berg

 

 

 

Teaserfoto: © Adobe Stock/monsitj