Kritische Schwachstelle in Log4j

Jetzt handeln und Risiken minimieren!

Dienstag, 14. Dezember 2021

Seit dem 09. Dezember 2021 gefährdet eine gravierende Sicherheitslücke diverse Anwendungen und Apps und führt laut Bundesamt für Sicherheit in der Informationstechnik (BSI) zu einer extrem kritischen Sicherheitslage.  

Die Server-Software Log4j ist eine beliebte Protokollierungsbibliothek für Java-Anwendungen. Vergangenes Wochenende wurde eine schwerwiegende Schwachstelle dieser Protokollierungsbibliothek bekannt gegeben, welche vom BSI mit der höchsten Warnstufe „Rot“ eingeschätzt wurde. Die Warnstufe „Rot“ wird vom BSI mit dem Ausfall vieler Dienste und einer massiven Einschränkung des Regelbetriebs verbunden. Die Sicherheitslücke wird von Angreifern bereits ausgenutzt, das Ausmaß der Bedrohungslage kann bislang aber nur schwer eingeschätzt werden. 

Unsere Empfehlungen, um die Sicherheitsrisiken zu minimieren (alle Anpassungen an Applikationen oder Systemparametern erfolgen dabei eigenverantwortlich und auf eigene Gefahr) :

• Server sollten nur Verbindungen (insbesondere in das Internet) aufbauen dürfen, die zwingend notwendig sind. Andere Zugriffe sollten durch entsprechende Kontrollinstanzen (wie Paketfilter und Application Layer Gateways) unterbunden werden.
• Überprüfen Sie durch Nutzung eines entsprechenden Scanners (z. B. Github „Simple local Log4j vulnerability scanner“), ob Systeme in Ihrer Systemlandschaft betroffen sind.
• Wurden zu betroffenen Anwendungen/Applikationen bereits Updates und Patches vom Hersteller bereitgestellt? Falls ja, sollten Sie diese zeitnah einspielen
• Sofern es noch keine Updates/Patches gibt, kann ein Aktualisieren der Version auf Log4j-2.16.0 ein Workaround sein, da alle früheren 2.x-Versionen anfällig sind. (Umbenennen der Alt-Datei in .BAK und Kopieren einer Version größer 2.16.0)

Gerne stehen wir Ihnen als MR Datentechnik für weitere Fragen zur Verfügung. Eine Auflistung der betroffenen Herstellerprodukte finden Sie unter folgendem Link. Die Seite wird regelmäßig aktualisiert.