bitminder IT Security

Das BSI hat dazu am Wochenende eine BSI-Cyber-Sicherheitswarnung mit der höchsten Warnstufe 4/4 veröffentlicht.
Kritische Schwachstelle in log4j veröffentlicht (CVE-2021-44228)

Worum geht es?

Es gibt eine häufig eingesetzte Open Source Bibliothek Log4j. Entwickler verwenden die Bibliothek in ihren Java Anwendungen wenn sie Funktionen rund ums Thema Logging benötigen, um z. B. Logdateien beim Zugriff auf eine Webanwendung zu erzeugen. Diese Bibliothek enthält seit Version 2.x eine Funktion „Lookup“. Diese Funktion wertet den Text aus der verarbeitet wird. Erkennt die Funktion eine bestimmte Zeichenfolge im Text interpretiert sie den folgenden Text als „Arbeitsanweisung“.

Die Funktion kann dann sehr einfach angewiesen werden, eine Verbindung zu einer beliebigen IP Adresse aufzubauen, von dort etwas herunterzuladen und auszuführen. Der Angriff ist leider kinderleicht durchzuführen.

Das Apache Log4j Projekt hat die Sicherheitslücke in der Version 2.15 geschlossen. Inzwischen wurde aber bereits die Version Log4j 2.16.0 veröffentlich, in der eine weitere, aber weniger kritische Lücke geschlossen wurde.

IT Systeme die uneingeschränkt auf das Internet zugreifen können und auf denen ein Programm ausgeführt wird, welches die Open Source Bibliothek Log4j verwendet, sind einem sehr hohen Risiko ausgesetzt.

Wenn Ihre Sicherheitsstrategie vorsieht, dass Backendsysteme überhaupt nicht oder aber nur sehr restriktiv auf das Internet zugreifen können, Sie zudem Sicherheitsprodukte einsetzen, die diesen Angriff erkennen, ist unserer Einschätzung nach ein Angriff ziemlich schwierig und nur sehr aufwendig durchzuführen.

Inzwischen findet man zahlreiche sehr gute Artikel zu dem Thema, daher wollen wir hier auch gar nicht tiefer einsteigen, sondern stattdessen einige unserer Meinung nach guter Artikel von Partnern verlinken.

Wie stark ist die eigene Infrastruktur betroffen?

Jetzt geht es also darum, das Risiko für die Infrastruktur einzuschätzen, die betroffenen Anwendungen und Geräte zu identifizieren, zu patchen und Workarounds zu implementieren. Es sollte überprüft werden, ob wirklich auf allen Systemen die Endpoint Protection installiert, deren Schutzfunktionen auch aktiviert sind und dies mit aktuellen Updates der Hersteller versorgt ist. Eine Überprüfung des Regelwerks der Firewalls sollte erfolgen. Man findet immer wieder Regeln mit Vermerken wie „temporär ANY zum Testen“, über die dann doch ein Zugriff möglich wäre.

Unser Team ist seit Samstag zum einen damit beschäftigt gewesen genau zu verstehen wie dieser Exploit funktioniert und zum anderen für alle Anwendungen und Systeme, welche wir und unsere Kunden einsetzen in Erfahrung zu bringen ob diese von dem Log4j CVE betroffen sind.

Eine sehr gute Übersicht, allerdings in englischer Sprache finden Sie hier.

Bei unseren eigenen Nachforschungen haben wir u. a. die folgende Übersicht zusammengetragen (Stand 13.12.2021).

Diese Aufstellung kann Ihnen die eigene Recherche vielleicht etwas erleichtern. Wir haben festgestellt, dass sich die Informationen der Hersteller im Bezug auf die betroffenen Produkte schnell ändern können. Produkte die als sicher klassifiziert wurden, waren dann am nächsten Morgen doch als betroffen gekennzeichnet und umgekehrt.

Alle Angaben hier sind daher ohne Gewähr. Wir empfehlen Ihnen die Webseiten der Hersteller, deren Produkte Sie einsetzten, in der nächsten Zeit regelmäßig nach neuen Informationen abzusuchen.

Folgende Hersteller geben an mit Produkten betroffen zu seien oder sind noch im Vorgang der Prüfung:

Hersteller die angeben dass ihre Produkte nicht betroffen seien:

Auf diesen Seiten finden Sie auch oft gute Informationen zu Gegenmaßnahmen, Workarounds und ob Patches verfügbar sind.

Gibt es Online Scanner für den CVE?

Da der Angriff sehr einfach auszuführen ist, könnte man sich mit etwas KnowHow einen eigenen Scanner programmieren.

Sehr interessant finden wir diese Open-Source Projekt Fullhunt auf GitHub, da einem hier das Aufsetzen eines DNS Callback Servers erspart bleibt. Falls wir es zeitlich stemmen können werden wir versuchen, in einem weiteren Blog Post zu zeigen wie man das Tool auf- und einsetzt.

Mit dem Huntress Log4Shell Vulnerability Tester lassen sich Strings im JNDI Syntax erstellen. Diese können Sie dann z. B. einfach in Eingabefeldern ihrer Anwendungen einfügen und absenden.

Trend Micro hat einen Online Scanner zur Verfügung gestellt. Mit diesem können Sie, für aus dem Internet erreichbare Systeme Tests durchführen. Im einfachsten Fall in dem Sie eine URL angeben und dann einen Request absenden. Das Tool bietet einige interessante Funktionen. Unter anderem können Sie sich damit Test URLs erstellen, um auch interne Systeme zu überprüfen.

Trend Micro Log4j Online Scanner