Zero-Day-Lücke in Java-Bibliothek Log4j

Java-Bibliothek Log4j Lücke

Die Schwachstelle kann durch Angreifer zu Remote Code Execution (RCE) auf betroffenen Servern und Clients führen. Anfällig sind Apache Log4j-Versionen zwischen Version 2.0 und 2.14.1. Dazu gehören viele in Java geschriebene Anwendungen und Dienste.

Angreifer können sich ohne berechtigten User anmelden und gefälschte Anfragen an betroffene Server oder Anwendungen schicken. Die Anfragen werden ohne Sicherheitsprüfung angenommen und ausgeführt. Die Schwachstelle wird von der «GovERT.ch» mit 10/10 als sehr kritisch und schwerwiegend eingestuft.

Unternehmen wird empfohlen dringend ihre Softwarelandschaften auf die Verwendung von Log4j zu überprüfen und die entsprechenden Patches so schnell wie möglich einzuspielen. Falls ein Patching nicht möglich ist, empfehlen wir das System vom Internet zu trennen um weiteren Schaden zu vermeiden.
Das Swiss Government Computer Emergency Response Team hat auf ihrer Homepage die genauen Empfehlungen und einzuleitenden Schritte beschrieben.

Zero-Day Exploit Targeting Popular Java Library Log4j (govcert.ch)

Bei Fragen können Sie uns gerne kontaktieren.