Neue Mega-Lücke ist extrem einfach ausnutzbar

Jene Sicherheitslücke, die am Wochenende entdeckt wurde  und so gut wie das gesamte Internet bedroht, lässt sich laut Sicherheitsexperten auch mit wenigen Kenntnissen ausnutzen. Wie berichtet, sprechen das heimische CERT und das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) vor einer "extrem kritischen Bedrohungslage." Das BSI rief sogar die höchste Warnstufe "Rot" aus. Und dieser drastische Schritt, der nur äußerst selten vorkommt, scheint durchaus begründet zu sein. Es gebe bereits Massen-Scans auf der ganzen Welt sowie versuchte und erfolgreiche Angriffe.

Volle Kontrolle übers System

Die Schwachstelle wurde in der Apache-Log4j-Bibliothek entdeckt. Bei Log4Shell – auch bekannt als LogJam und unter der Kennzeichnung CVE-2021-44228 [1] – handelt es sich laut dem Sicherheitssoftwareanbieter Kaspersky um eine sogenannte Remote-Code-Execution (RCE)-Class-Schwachstelle. Bei dieser können Angreifer beliebigen Code ausführen und möglicherweise die volle Kontrolle über ein System erlangen, wenn diese auf einem anfälligen Server ausgenutzt wird. Die CVE wurde mit 10 von 10 in Bezug auf den Schweregrad bewertet.

Millionen Java-Anwendungen betroffen

Das Apache Logging Project (Apache Log4j) ist eine Open-Source-Logging-Bibliothek, die für Millionen von Java-Anwendungen verwendet wird. Jedes Produkt, das eine anfällige Version dieser Bibliothek (Version 2.0-beta9 bis 2.14.1) verwendet, ist gefährdet für diese neue Schwachstelle. Log4j enthält einen Lookup-Mechanismus zum Suchen von Anfragen mit einer speziellen Syntax. Durch Erstellen eines benutzerdefinierten Präfixes für diesen String können Angreifer Informationen an einen unter ihrer Kontrolle stehenden Server übertragen, dies führt zur Ausführung willkürlicher Codes oder zum Verlust vertraulicher Informationen.

Besonders einfach ausnutzbar

Evgeny Lopatin, Sicherheitsexperte bei Kaspersky, kommentiert die Lage wie folgt: „Diese Schwachstelle ist nicht nur besonders gefährlich, weil Angreifer die vollständige Kontrolle über das System erlangen können, sondern weil sie sich auch besonders einfach ausnutzen lässt – sogar ein unerfahrener Hacker kann davon profitieren. Wir sehen bereits, dass Cyberkriminelle aktiv nach Software suchen, die sie mit dieser Schwachstelle ausnutzen können. Die gute Nachricht ist jedoch, dass eine starke Sicherheitslösung zum Schutz der Nutzer beitragen kann.“

Firmen in Alarmbereitschaft

Große Unternehmen in Deutschland sind wegen der BSI-Warnung vor schwerwiegenden Hackerangriffen in Alarmbereitschaft. Mehrere von der Nachrichtenagentur Reuters befragte Firmen, darunter VW, die Lufthansa und die Deutsche Telekom, erklärten am Montag, ihre internen Sicherheitsvorkehrungen erhöht zu haben und die Lage genau zu beobachten. Bisher seien aber keine Angriffsversuche verzeichnet worden.

Deutschlands größte Reederei Hapag-Lloyd erklärte, das Cybersecurity-Team habe bereits reagiert und die IT-Systeme entsprechend angepasst. "Wir bleiben alarmiert und werden die aktuellen Entwicklungen selbstverständlich weiterhin sehr genau im Blick behalten." Die Lufthansa rief eine Spezialtruppe zusammen, die alle Systeme und Anwendungen überprüfen soll. Bei der Telekom hieß es, alle Kunden seien dazu aufgerufen worden, die relevanten Updates so schnell wie möglich zu installieren, um die potenzielle Angriffsfläche so gering wie möglich zu halten. Die Systeme des Konzerns würden im Laufe des Tages Tests unterzogen, sodass es zu Verzögerungen bei Anwendungen kommen könne.

Auch Infineon, die Deutsche Bank und Continental erklärten, bisher keine Angriffe registriert zu haben, aber wachsam bleiben zu wollen. E.ON setzt nach eigenen Angaben bereits seit Freitag diverse Maßnahmen um, um das Risiko der IT-Schwachstellen zu minimieren.

Weihnachtsferien besonders prekär

Das BSI hatte bereits Anfang Dezember vor einer Bedrohung durch die Schadsoftware "Emotet " gewarnt und von einem "bedrohlichen Szenario" gesprochen. Problematisch könne die Situation vor allem in den Weihnachtsferien werden, wenn die IT-Abteilungen personell ausgedünnt seien und Firmen nicht schnell reagieren könnten. Vergangenes Jahr wurden dem BSI zufolge 144 Millionen neue Schadprogramm-Varianten festgestellt, ein Zuwachs von 22 Prozent im Vergleich zum Vorjahr.