Worum geht es?
Log4j ist eine äusserst populäre Java Bibliothek zum protokollieren von Aktivitäten in in Java Applikationen und Umgebungen. Es wird unter der freien Apache-Lizenz 2.0 verbreitet und weiterentwickelt. Vergangenes Wochenende wurde bekannt, dass Log4j von Version 2.0 bis und mit 2.14.1 eine Sicherheitslücke aufweist. Die als Log4Shell bezeichnete Schwachstelle wird in der CVE Datenbank unter der ID CVE-2021-45046 geführt.
Was kann über die Sicherheitslücke passieren?
Betroffene Systeme können mit einfachen Webaufrufen dazu gebracht werden, auf einem internen Zielsystem fremden Code auszuführen. Das kann zu Infiltrierung von Servern und Netzwerken oder auch dem ausführen von Ransomware zum Verschlüsseln von Daten führen.
Was ist zu tun?
Alle Systeme die Log4j in den oben genannten Versionen enthalten und aktiv nutzen, müssen aktualisiert werden. Mit höchster Priorität sind dabei ins Internet publizierte Systeme (Webserver, Applikationsserver) zu behandeln. Anschließend sollten auch intern verwendete Komponenten (Switchs, Kameras, etc.) geprüft und bei Bedarf aktualisiert werden.
Wir helfen Ihnen gerne bei den nötigen Abklärungen. Rufen Sie uns gerne an.