Vor zwei Wochen wurde die IT-Welt durch eine Zero-Day-Schwachstelle namens Log4Shell in Alarm versetzt. Diese Schwachstelle könnte in den kommenden Wochen und Monaten zu einem der größten Cyberangriffe führen.
Die Schwachstelle wurde in der Open-Source-Komponente Log4j gefunden. Log4j ist ein Softwarebaustein, der in der Software, in der er eingesetzt wird, Fehler und routinemäßige Systemvorgänge protokolliert und Systemadministratoren sowie Nutzern meldet.
Die IT-Welt erfuhr am 9. Dezember 2021 erstmals von dieser Schwachstelle. Ihre möglichen Auswirkungen und die Leichtigkeit, mit der sie sich ausnutzen lässt, führten dazu, dass die US-amerikanische National Vulnerability Database sie mit der höchsten Sicherheitsstufe, kritisch, einstufte.
Wie das Technologie-Nachrichtenportal ZDNET berichtete, starteten Cyberkriminelle, die von der Schwachstelle erfahren hatten, sofort eine sehr große Zahl von Angriffen, um sie auszunutzen. Nach Angaben von Microsoft begannen auch zahlreiche von ihm beobachtete staatlich unterstützte Cybercrime-Gruppen, die Schwachstelle auszunutzen. Diese Gruppen, zu denen auch Cyberkriminelle aus der Türkei gehörten, stammten aus Ländern wie China, Iran und Nordkorea.
Sobald die Schwachstelle bekannt wurde, nahm die Apache Software Foundation, die Entwicklerin von Log4j, eine Korrektur am Code von Log4j vor und veröffentlichte sie am 10. Dezember 2021. Später stellte sich jedoch heraus, dass diese Korrektur die Schwachstelle nicht vollständig beseitigte, und am 13. Dezember 2021 wurde den Nutzern eine neue Version von Log4j bereitgestellt. Auch diese zweite Schwachstelle wurde von der US-amerikanischen National Vulnerability Database als kritisch eingestuft. Da die Schwachstelle trotz dieser beiden Updates noch immer nicht vollständig behoben war, folgte am 17. Dezember 2021 ein weiteres Update. Diese letzte Schwachstelle war zwar nicht so gravierend wie die ersten beiden, wurde aber mit „high“ (hoch) eingestuft, einer in der Cybersicherheit als ernst geltenden Stufe.
Log4j wird heute in vielen Anwendungen, Servern und mit dem Internet verbundenen Geräten eingesetzt. Das zeigt, dass die Beseitigung dieser Schwachstellen erhebliche Zeit in Anspruch nehmen wird.
Santiago Torres-Arias von der Purdue University verweist auf zwei grundlegende Probleme, die die Behebung der Schwachstelle erschweren.
Erstens ist Log4j keine eigenständige Software, sondern ein Softwarebaustein. Um herauszufinden, wo dieser Baustein läuft, müssen Systemadministratoren ihre Software Zeile für Zeile durchgehen und prüfen, ob Log4j verwendet wird. In einer Umgebung, in der man nicht weiß, was man schützt, ist es sehr schwer, auf Cyberangriffe zu reagieren.
Das zweite große Problem: Unternehmen, die Log4j in ihrer Software verwenden, brauchen viel Zeit, um die damit verbundenen Probleme zu lösen. Denn Log4j ist seiner Natur nach Teil der Software-Lieferkette. Eine Software muss also während ihrer Entwicklung die Freigabe vieler Abteilungen durchlaufen, bis das Endprodukt entsteht. Wird in einer dieser Abteilungen ein Problem festgestellt, wird die fehlerhafte Software korrigiert, bevor sie an die nächste Abteilung übergeben wird.
Log4j wird jedoch in so vielen verschiedenen Softwareprodukten eingesetzt, dass schon ein einziges Update die Freigabe des Log4j-Entwicklers, des Softwareentwicklers und vieler weiterer Beteiligter erfordert. Das verzögert die Behebung der Schwachstelle und kann sogar dazu führen, dass sie ignoriert wird.
So zeitraubend und schwierig es auch erscheinen mag: Gegen Log4j und ähnliche Software müssen wir Software-Updates, einen der wichtigsten Schutzschilde der Cybersicherheit, so schnell wie möglich einspielen, sobald sie verfügbar sind.
