Worum es geht

Apache log4j ist ein Framework zum Loggen von Anwendungsmeldungen in Java. Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Apache log4j ausnutzen, um beliebigen Programmcode auszuführen.

Unter welchen Bedingungen?

Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.

Was schlimmstenfalls passieren kann

Ein Angreifer könnte die Lücke nutzen, um

• beliebigen Programmcode auszuführen

Bin ich betroffen?

Betroffen sind laut BSI:

• Avaya Aura Media Server
• Avaya one-X
• Cisco Video Surveillance Operations Manager
• Cisco Finesse
• Cisco Emergency Responder
• Cisco Unified Contact Center Enterprise
• Debian Linux
• Red Hat OpenShift
• VMware NSX Data Center for vSphere
• Amazon Linux 2
• IBM DB2
• IBM Informix

und 48 weitere

Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.

Was hilft?

Aktualisieren auf mindestens:

• Siemens SIMATIC WinCC V7.4 SP1
• Unify OpenScape UC Application V10.3.10
• Apache log4j 2.16.0
• Red Hat JBoss Enterprise Application Platform 7.3.12
• Red Hat JBoss Enterprise Application Platform 7.1.9

Wird die Lücke schon ausgenutzt?

• CVE-2021-44228: laut CISA in freier Wildbahn ausgenutzt, im Katalog seit 10.12.2021, auch für Ransomware.
• Laut CISA-Warnung genutzt von Akteuren aus : 2023 Top Routinely Exploited Vulnerabilities (11/2024)
• Laut CISA-Warnung genutzt von Akteuren aus Nordkorea: North Korea Cyber Group Conducts Global Espionage Campaign to Advance Regime’s Military and Nuclear Programs (07/2024)
• Laut CISA-Warnung genutzt von Akteuren aus China: People’s Republic of China (PRC) Ministry of State Security APT40 Tradecraft in Action (07/2024)
• Laut CISA-Warnung genutzt von Akteuren aus : NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations (10/2023)
• Laut CISA-Warnung genutzt von Akteuren aus : Multiple Nation-State Threat Actors Exploit CVE-2022-47966 and CVE-2022-42475 (09/2023)
• Laut CISA-Warnung genutzt von Akteuren aus : Understanding Ransomware Threat Actors: LockBit (06/2023)
• Laut CISA-Warnung genutzt von Akteuren aus Nordkorea: #StopRansomware: Ransomware Attacks on Critical Infrastructure Fund DPRK Malicious Cyber Activities (02/2023)
• Laut CISA-Warnung genutzt von Akteuren aus Iran: Iranian Government-Sponsored APT Actors Compromise Federal Network, Deploy Crypto Miner, Credential Harvester (11/2022)
• Laut CISA-Warnung genutzt von Akteuren aus China: Top CVEs Actively Exploited By People’s Republic of China State-Sponsored Cyber Actors (10/2022)
• Laut CISA-Warnung genutzt von Akteuren aus Iran: Iranian Islamic Revolutionary Guard Corps-Affiliated Cyber Actors Exploiting Vulnerabilities for Data Extortion and Disk Encryption for Ransom Operations (09/2022)
• Laut CISA-Warnung genutzt von Akteuren aus : Malicious Cyber Actors Continue to Exploit Log4Shell in VMware Horizon Systems (06/2022)
• Laut CISA-Warnung genutzt von Akteuren aus : Karakurt Data Extortion Group (06/2022)
• Laut CISA-Warnung genutzt von Akteuren aus : 2021 Top Routinely Exploited Vulnerabilities (04/2022)
• Laut CISA-Warnung genutzt von Akteuren aus : Mitigating Log4Shell and Other Log4j-Related Vulnerabilities (12/2021)