Sehr geehrte Kunden,
proBeS Cloud Services GmbH prüft und identifiziert (mit höchster Priorität) betroffene Systeme in Bezug auf Sicherheitslücken, die in CVE-2021-44228 beschrieben sind. Dieser Artikel beschreibt den aktuellen Status über durchgeführte Wartungsarbeiten und Serviceverfügbarkeit. Probleme im Zusammenhang mit diesen Sicherheitsanfälligkeiten in Cloud-gehosteten Services (DaaS, BaaS, DRaaS, File Services, etc.) die von proBeS Cloud Services – verwaltet werden, sind gemäß dem von Herstellern (wie VMware, Microsoft, etc.) bereitgestellten Leitfaden behoben worden.
Die Sicherheitsprobleme
LOG4J/LOG4SHELL
Log4j ist eine beliebte Protokollierungsbibliothek für Java-Anwendungen. Sie dient der performanten Aggregation von Protokolldaten einer Anwendung.
Die Schwachstelle CVE-2021-44228 in log4j in den Versionen 2.0 bis 2.14.1, ermöglicht Angreifern gegebenenfalls, auf dem Zielsystem eigenen Programmcode auszuführen und so den Server zu kompromittieren. Diese Gefahr besteht dann, wenn log4j verwendet wird, um eine vom Angreifer kontrollierte Zeichenkette wie beispielsweise den HTTP User Agent zu protokollieren. Diese kritische Schwachstelle hat demnach möglicherweise Auswirkungen auf alle aus dem Internet erreichbaren Java-Anwendungen, die mit Hilfe von log4j Teile der Nutzeranfragen protokollieren.
Der Schwachstelle wurde nach Veröffentlichung des Blog-Posts ein CVSS-Wert von 10.0 zugewiesen.
Erste öffentliche Quellen weisen auf breitflächiges Scannen nach verwundbaren Systemen hin.
Die kritische Schwachstelle kann ggf. auch auf internen Systemen ausgenutzt werden, sofern diese externe Daten entgegennehmen oder verarbeiten.