Kritischer Software-Bug setzt „Internet in Brand“

Cybersicherheitsexperten haben Alarm wegen eines bisher unbekannten kritischen Fehlers in einem häufig verwendeten Softwaretool geschlagen, der es Hackern möglicherweise ermöglichen könnte, Millionen von mit dem Internet verbundenen Geräten zu kompromittieren.

Der Fehler, bekannt als ‚Log4Shell‘, wurde als „einzelne größte und kritischste Schwachstelle des letzten Jahrzehnts“ beschrieben – was ihn zu einem der größten Pannen in der modernen Computergeschichte macht. Forscher haben gewarnt, dass der Fehler Server betrifft, die von Technologiegiganten wie Microsoft, Apple, Amazon und Twitter betrieben werden.

Die ersten Hinweise auf den Exploit wurden auf Websites gesehen, die Server für das äußerst beliebte Online-Spiel Minecraft von Microsoft gehostet haben. Marcus Hutchins, der britische Sicherheitsforscher, der dafür bekannt ist, den WannaCry-Malware-Angriff zu stoppen, twitterte, dass anscheinend einige Benutzer des Spiels den Fehler bereits nutzten, um aus der Ferne Programme auf den Computern anderer Benutzer auszuführen, indem sie „einfach eine kurze Nachricht in eine Chat-Box einfügen. ”

This log4j (CVE-2021-44228) vulnerability is extremely bad. Millions of applications use Log4j for logging, and all the attacker needs to do is get the app to log a special string. So far iCloud, Steam, and Minecraft have all been confirmed vulnerable.

— Marcus Hutchins (@MalwareTechBlog) December 10, 2021

Die Schwachstelle, die sich in „log4j“ befindet – einem von der Apache Software Foundation entwickelten Open-Source-Logging-Tool – wurde erstmals am 24. November vom chinesischen Technologieriesen Alibaba gemeldet. Die Stiftung stufte die Schwere des Problems dann auf einer Skala von eins bis 10 mit 10 ein. Der Fehler wurde jedoch erst am Donnerstag öffentlich bekannt.

Die Protokollierungssoftware wird von Amazon Web Services und anderen Cloud-Server-Anbietern sowie Industrie- und Regierungsnetzwerken verwendet. Protokollierung bezieht sich auf einen Prozess, bei dem Anwendungen die von ihnen ausgeführten Aktivitäten im Auge behalten, die später auf Fehler überprüft werden können. Fast jedes Netzwerksicherheitssystem verwendet einen Protokollierungsprozess, der auf das Ausmaß des Problems hinweist.

Adam Meyers, Senior Vice President of Intelligence bei der Cybersicherheitsfirma Crowdstrike, stellte fest, dass Hacker den Exploit kurz nach seiner Enthüllung „vollständig waffenfähig“ gemacht hatten, und sagte der AP, dass das „Internet gerade in Flammen steht“, als Experten versuchten, den Fehler im Neuzustand zu beheben Werkzeuge, um es auszunutzen, wurden verteilt.

Obwohl ein Sicherheitsfix für das log4j-Tool veröffentlicht wurde, wird Log4Shell während der Zeit, die benötigt wird, um sicherzustellen, dass alle anfälligen Maschinen aktualisiert werden, eine Bedrohung bleiben.