AWS-Hotpatches für Log4Shell öffnen gefährliche Angriffspforten

21. April 2022 um 11:39
  • security
  • aws
  • lücke
  • java
image
Foto: Markus Spiske / Unsplash

Der Hyperscaler hat mit raschen Patches für die gefährliche Lücke vom letzten Dezember selbst Schwachstellen erzeugt. Ein Update steht aber bereits zur Verfügung.

Die Log4Shell-Lücke, die im letzten Dezember entdeckt wurde, dürfte AWS-Kunden erneut beschäftigen. Der Cloud-Primus hatte zwar früh Hotpatches für die brandgefährliche Schwachstelle veröffentlicht, gerade diese stellen sich nun aber als neuerliche Gefahr heraus. Security-Forscher der Unit 42 von Palo Alto Networks berichten, dass die Patches gravierende Sicherheitslücken bergen: CVE-2021-3100, CVE-2021-3101, CVE-2022-0070, CVE-2022-0071. Diese haben den Gefährlichkeits-Score 8,8 von 10 erhalten.
Laut Unit 42 könnten Angreifer dank der Patches ihre Rechte ausweiten. Der Update-Dienst von AWS sucht offenbar nach Binärdateien mit der Bezeichnung "java", um deren Version zu ermitteln. Die Datei wird dann ein zweites Mal aufgerufen, um den Hotpatch im laufenden Betrieb einzuspielen und das Java Naming and Directory Interface (JNDI) zu deaktivieren, das für die Log4Shell-Lücke massgeblich ist.
Laut den Security-Forschern werden Java dabei erweiterte Rechte eingeräumt. Wenn nun Angreifer selbst eine Anwendung mit dem Namen "java" im System unterbringen, können sie so ihre Rechte ausweiten. Die Forscher von Unit 42 haben ein Video veröffentlicht, das einen möglichen Angriff zeigt, in dem sie die Schwachstelle ausnutzen, um aus einem Cluster oder einer Virtuellen Maschine (VM) auszubrechen und Code auf dem Host auszuführen.
AWS hat den Fehler bereits behoben und stellt Updates zur Verfügung. "Wir empfehlen Kunden, die Java-Anwendungen in Containern ausführen und entweder den Hotpatch oder Hotdog verwenden, sofort auf die neuesten Versionen der Software zu aktualisieren", heisst es dazu in einem Sicherheitsbulletin des Hyperscalers. Den Bericht von Unit 42 findet man auf deren Website.

Loading

Mehr zum Thema

image

Breach von Easypark könnte 21 Millionen Datensätze umfassen

Nach dem Angriff auf den auch in der Schweiz aktiven Park-App-Anbieter verkauft ein Hacker ein grosses Datenpaket. Es soll auch Kreditkarten- und IBAN-Details enthalten.

publiziert am 29.2.2024
image

Noch mehr Kritik für inter­kantonale Polizei­daten­bank

Eine neue Vereinbarung soll den Austausch von polizeilichen Daten unter den Kantonen regeln. Der Gesetzesentwurf dazu ist kantonalen Datenschützern zu unpräzise und eine "Art Blanko­ermächtigung" für die Polizei.

publiziert am 28.2.2024 1
image

Bank schickt USB-Sticks an Geschäftskunden

Eine deutsche Sparkasse hat 15'000 USB-Sticks mit neuen Geschäftsbedingungen verschickt. Wenn das Schule macht, öffnet das Cyberkriminellen Tür und Tor.

publiziert am 28.2.2024 2
image

Ransomware-Banden greifen vermehrt Fertigungsbetriebe an

Sobald die Produktion stillsteht, sind viele Unternehmen bereit, Lösegeld zu bezahlen. Das wiederum lockt nur noch mehr Cyberkriminelle an.

publiziert am 28.2.2024