Zero-Day-Lücke in Java-Bibliothek Log4j wird aktiv ausgenutzt

10. Dezember 2021 um 10:41
  • security
  • lücke
  • open source
  • java
  • apache
image

Laut Sicherheitsforschern seien Cloud-Dienste wie Steam und Apple iCloud anfällig auf den Exploit. Bereits als angreifbar habe sich das beliebte Spiel Minecraft erwiesen.

Am 9. Dezember machten Sicherheitsforscher und verschiedene Websites auf eine Zero-Day-Lücke in der Java-Logging-Bibliothek Log4j aufmerksam. Anfällig sind Apache Log4j-Versionen zwischen Version 2.0 und 2.14.1. Dazu gehören viele in Java geschriebene Anwendungen und Dienste.
Die mittlerweile mit der Nummer "CVE-2021-44228" versehene Schwachstelle könne zu Remote Code Execution (RCE) durch Angreifer auf betroffenen Servern und Clients führen. Die Neuseeländische Cybersecurity-Behörde CertNZ schreibt: "Berichte von Online-Benutzern zeigen, dass diese in freier Wildbahn aktiv ausgenutzt wird und dass ein Proof-of-Concept-Code veröffentlicht wurde." Das CERT der Deutschen Telekom beobachtet auch bereits erste Angriffe, wie es auf Twitter meldete.
Laut 'Arstechnica' wurde die Schwachstelle erstmals auf Websites bekannt, die sich an Benutzer von Minecraft, dem meistverkauften Spiel aller Zeiten, richten. Die Websites warnten davor, dass Hacker bösartigen Code ausführen könnten, auf denen die Java-Version von Minecraft ausgeführt wird, indem sie Protokollnachrichten manipulieren, einschliesslich Nachrichten, die in Chats eingegeben werden.
In einem Bericht von Sicherheitsforschern von Lunasec heisst es: "Angesichts der Allgegenwart dieser Bibliothek, der Auswirkungen des Exploits (volle Serverkontrolle) und der einfachen Ausnutzung sind die Auswirkungen dieser Sicherheitsanfälligkeit ziemlich schwerwiegend."
"Viele, viele Dienste sind anfällig für diesen Exploit", schreibt Lunasec. Dazu würden auch Cloud-Dienste wie Steam oder Apple iCloud gehören. "Jeder, der Apache Struts verwendet, ist wahrscheinlich anfällig." Bei Minecraft sollen die Versionen 1.8.8 bis zur neuesten Version 1.18 alle anfällig seien, ebenso wie andere beliebte Gameserver wie Wynncraft.
Lunasec hat in einem Blogpost weitere Details zur Schwachstelle veröffentlicht. Anwender werden dringend aufgefordert, die neuste Version von Log4j zu verwenden.
Update 15.40 Uhr: Der Artikel wurde um die Meldung der Deutschen Telekom ergänzt.

Loading

Mehr zum Thema

image

3 Millionen für externe Security-Spezialisten im Kanton Zug

Die Innerschweizer brauchen Unterstützung im Aufbau und Betrieb eines Security Operation Centers.

publiziert am 23.2.2024
image

Die Schlinge um Lockbit zieht sich zu

Eine internationale Polizeiaktion hat die Ransomware-Bande empfindlich getroffen. Dennoch lässt sich ein Comeback der Cyberkriminellen nicht ganz ausschliessen.

publiziert am 22.2.2024
image

Haufenweise Kundendaten von Schweizer Personalvermittler gestohlen

Die Firma Das Team ist eines der jüngsten Opfer der Ransomware-Bande Black Basta. Sie publizierte eine Vielzahl heikler Daten im Darkweb.

publiziert am 22.2.2024 14
image

"Verständnis für Einfluss des Cyberraums auf Gesellschaft fehlt"

Die Swiss Cyber Security Days verzeichneten über 2200 Besucherinnen und Besucher. Einig war man sich, dass Cybersicherheit eine gemeinschaftliche Aufgabe ist.

publiziert am 22.2.2024