Am 9. Dezember 2021 dokumentierten Security-Experten erstmals eine gefährliche neue Schwachstelle: Die kritische Zero-Day-Vulnerability Log4Shell (CVE-2021-44228) in der beliebten Java-Logging-Library Log4J ermöglicht es Angreifern, durch das Logging eigener Payloads unerwünschten Programmcode auszuführen und die betroffenen Server auf diese Weise zu kompromittieren.

„Das Risikopotenzial dieser Schwachstelle ist enorm. Als Standardtool kommt Log4J im Business-Umfeld in unzähligen Java-Anwendungen zum Einsatz – und all diese Systeme können bei einer Remote Code Execution kompromittiert werden“, warnt Benjamin Heyder, Teamlead Cyber Defense Consulting bei Controlware. „Unternehmen sollten daher zeitnah prüfen, ob und in welcher Version die betroffene Logging-Library bei ihnen eingesetzt wird. Wenn ja, müssen sie diese sofort auf den neuesten Stand bringen – und dann im Rahmen eines Compromise Assessments prüfen, ob die Schwachstelle womöglich sogar schon für einen Angriff missbraucht wurde.“

Die neue Schwachstelle erhielt sofort nach Bekanntwerden eine CVSS-Bewertung (Common Vulnerability Scoring System) mit dem höchsten Risikograd 10,0. Das GitHub-Advisory, auf dem sie publiziert wurde, bescheinigt ebenfalls einen kritischen Schweregrad, und auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) vergab die Warnstufe Rot („Die IT-Bedrohungslage ist extrem kritisch. Ausfall vieler Dienste, der Regelbetrieb kann nicht aufrechterhalten werden.“). Nach aktuellen Berichten des BSI wurden zudem bereits die ersten Proofs-of-Concept eines Exploits auf GitHub und Twitter veröffentlicht. Diverse CERT-Einrichtungen – unter anderem das renommierte CERT New Zealand – berichten, dass inzwischen hunderte von Hosts das Internet gezielt nach angreifbaren Servern scannen, und vermeldeten einen ersten erfolgreich eingesetzten Exploit mit einem Kryptominer. Das BSI berichtet auch bereits von Cobalt Strike Beacons, die über diesen Weg verteilt werden.

Schwachstellen-Scans und Compromise Assessments

Unternehmen, die ihre Perimeter-Systeme kostenlos scannen lassen möchten, um zu überprüfen, ob sie für den Exploit anfällig sind, steht das Controlware Team über das Kontaktformular jederzeit zur Verfügung. Ergänzend dazu bietet der Dietzenbacher IT-Dienstleister individuelle EDR Compromise Assessments, bei denen die Perimeter-Systeme auf einen möglichen Schadsoftware-Befall untersucht werden.