Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die am Freitag bekannt gewordene Zero-Day-Lücke in der weit verbreiteten Java-Bibliothek Log4j nachträglich hochgestuft. Es gilt nun die höchste Warnstufe Rot. Man habe beobachtet, dass die Schwachstelle ohne explizites Nachladen von Schadcode ausgenutzt werden könne, womit ein Großteil der zuvor empfohlenen Gegenmaßnahmen ins Leere läuft.

Weil die Java-Bibliothek Log4j als Komponente in extrem vielen Java-Anwendungen steckt, ist im Moment nicht absehbar, wie viele Internetdienste auch von namhaften Firmen von der Zero-Day-Lücke betroffen sind, die das Ausführen von beliebigem Code erlaubt. Auf GitHub gibt es unter Log4jAttackSurface eine bei weitem nicht vollständige, Liste von Herstelleren und deren Programmen, bei denen der am Freitag veröffentlichte Proof-of-Concept-Code (PoC) der Pen-Testing-Gruppe 0x0021h angeschlagen hat. Es ist ein Who-is-Who der bekanntesten Firmen und reicht von Amazon und Apple über CloudFlare, Google, IBM, Cisco, Tesla und Twitter bis zu VMWare.

Doch nicht nur Großkonzerne sind gefährdet, Log4j steckt auch in vielen Netzwerk- und Systemkomponenten, die auch in kleinen Firmen, aber auch von Privatpersonen und Mitarbeitern im Home-Office eingesetzt werden. So hat Ubiquiti, bei Heimanwendern vor allem für seine Meshing-fähigen WLAN Access Points bekannt, bereits eingeräumt, dass das Konfigurations- und Verwaltungs-Frontend UniFi Network Application verwundbar ist und ein Update bereitgestellt. Für Firmen, deren Mitarbeiter derzeit Corona-bedingt von zu Hause aus arbeiten und sich mit ihren privaten Rechnern per VPN ins interne Firmennetzwerk einklinken, ist dies eine alarmierende Nachricht. Die UniFi Network Application kommt aber auch in vielen Hotels, Geschäften, Banken, Arztpraxen und kleinen Firmen zum Einsatz, um Besuchern mittels Vouchern einen Internetzugang via Gäste-WLAN anzubieten.

Laut der Pressemitteilung wurden dem BSI aus mehreren CERT-Quellen weltweite Massenscans und Angriffe gemeldet, es gebe auch erste erfolgreiche Kompromittierungen, unter anderem mit Kryptominern. Das BSI empfiehlt, zur Verfügung stehende Updates sofort einzuspielen und qualifiziertes IT-Personal einzusetzen, um kritische, vor allem von außen erreichbare Systeme engmaschig zu überwachen.

Quelle: heise online