BSI und Log4j: Was Unternehmen über Log4Shell wissen sollten
Die Sicherheitslücke „Log4Shell“ machte Ende 2021 die Java-Protokollierungsbibliothek Apache Log4j weltweit zu einem dringenden Thema. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte vor der Schwachstelle und ihrer möglichen Ausnutzung. Auch Jahre später ist der Vorfall ein wichtiges Beispiel dafür, wie schnell eine Schwachstelle in einer weit verbreiteten Softwarekomponente viele Systeme betreffen kann.
Was ist Log4j?
Apache Log4j ist eine Open-Source-Bibliothek, die von Java-Anwendungen zum Protokollieren von Ereignissen und Fehlermeldungen verwendet wird. Sie steckt nicht nur in eigenständigen Programmen, sondern kann auch als indirekte Abhängigkeit in größeren Anwendungen, Servern und Produkten enthalten sein. Deshalb ist sie unter Umständen nicht sofort sichtbar.
Was bedeutet Log4Shell?
Log4Shell bezeichnet vor allem die Schwachstelle CVE-2021-44228 in bestimmten Versionen von Apache Log4j 2. Über speziell präparierte Eingaben konnte ein Angreifer unter bestimmten Voraussetzungen Funktionen der Bibliothek auslösen und dadurch aus der Ferne Code auf einem betroffenen System ausführen. Welche Auswirkungen möglich waren, hing unter anderem von der Konfiguration und der Umgebung des Systems ab.
Die Schwachstelle betraf Log4j 2 ab Version 2.0-beta9 bis einschließlich Version 2.14.1. Wegen der weiten Verbreitung der Bibliothek und der vergleichsweise einfachen Möglichkeiten, verwundbare Anwendungen aufzuspüren, wurde sie als besonders kritisch eingestuft. Das BSI veröffentlichte dazu Warnungen und Empfehlungen für Betreiber und IT-Verantwortliche.
Warum waren die Reaktionen so dringend?
Viele Organisationen konnten zunächst nicht sicher feststellen, wo Log4j überall eingesetzt wurde. Die Bibliothek konnte in Produkten von Drittanbietern oder in tiefer verschachtelten Softwareabhängigkeiten enthalten sein. Zugleich wurden verwundbare Systeme aktiv gesucht und angegriffen. Ein öffentlich erreichbarer Dienst war daher nicht allein deshalb sicher, weil sein Betreiber Log4j nicht bewusst selbst installiert hatte.
Welche Maßnahmen empfiehlt das BSI?
Die wichtigste Maßnahme ist, betroffene Software zu identifizieren und auf eine vom Hersteller unterstützte, korrigierte Version zu aktualisieren. Ein frühes Update auf Log4j 2.15.0 reichte nicht in jedem Fall aus: Im Anschluss wurden weitere Schwachstellen bekannt. Daher sollten Organisationen nicht bei einer historischen Versionsnummer stehen bleiben, sondern die aktuellen Sicherheitshinweise des Softwareherstellers und die jeweils unterstützte Log4j-Version berücksichtigen.
- Bestand erfassen: Anwendungen, Server, Container und Produkte von Drittanbietern auf Log4j-Abhängigkeiten prüfen.
- Updates einspielen: Hersteller-Patches zeitnah installieren und anschließend kontrollieren, ob die Aktualisierung erfolgreich war.
- Abhängigkeiten prüfen: Auch indirekt eingebundene Bibliotheken und Softwarepakete berücksichtigen.
- Exponierte Systeme priorisieren: Öffentlich erreichbare Anwendungen und besonders kritische Systeme zuerst untersuchen.
- Protokolle auswerten: Nach verdächtigen Anfragen und Anzeichen für eine Ausnutzung suchen. Eine Bereinigung oder Filterung von Protokollen ersetzt jedoch kein Sicherheitsupdate.
- Bei Verdacht reagieren: Hinweise auf eine erfolgreiche Ausnutzung sollten nach dem eigenen Notfallplan untersucht und gegebenenfalls an die zuständigen Sicherheitsverantwortlichen gemeldet werden.
Herstellerhinweise sind besonders wichtig, weil sich die erforderlichen Schritte je nach Produkt unterscheiden können. Wenn ein System kurzfristig nicht aktualisiert werden kann, sollten geeignete Schutzmaßnahmen mit dem Hersteller und den zuständigen IT-Sicherheitsexperten abgestimmt werden. Eine einzelne Konfigurationsänderung ist nicht automatisch ein vollständiger Ersatz für einen verfügbaren Sicherheits-Patch.
Was ist mit Log4j 1.x?
Die bekannte Schwachstelle CVE-2021-44228 betrifft Log4j 2 und nicht direkt die ältere Reihe Log4j 1.x. Log4j 1.x ist jedoch seit Langem nicht mehr unterstützt und erhält keine regulären Sicherheitsupdates. Außerdem können bestimmte Konfigurationen eigene Risiken mit sich bringen. Organisationen sollten deshalb auch alte Installationen erfassen und nach Möglichkeit auf eine unterstützte Alternative migrieren.
Lehren aus dem Log4j-Vorfall
Log4Shell hat gezeigt, wie wichtig ein aktueller Überblick über die gesamte Software-Lieferkette ist. Ein gepflegtes Verzeichnis von Anwendungen und Abhängigkeiten, ein verlässlicher Updateprozess sowie ein getesteter Notfallplan helfen dabei, auf neue Schwachstellen schneller zu reagieren. Die Empfehlungen des BSI und aktuelle Hinweise der jeweiligen Softwarehersteller bieten dafür eine wichtige Orientierung.
Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle Sicherheitsberatung. Für konkrete Maßnahmen sollten die aktuellen Veröffentlichungen des BSI sowie die Hinweise der betroffenen Softwarehersteller geprüft werden.
Häufig gestellte Fragen zu BSI und Log4j-Schwachstellen
- Was ist Log4Shell und welche Log4j-Versionen sind betroffen?
- Wie kann ich feststellen, ob meine Systeme von der Log4j-Schwachstelle betroffen sind?
- Welche Maßnahmen empfiehlt das BSI bei einer Log4j-Schwachstelle?
- Reicht es aus, Log4j zu aktualisieren, oder muss ich weitere Sicherheitsmaßnahmen ergreifen?
- Wo finde ich aktuelle Warnungen und Empfehlungen des BSI zu Log4j?
Was ist Log4Shell und welche Log4j-Versionen sind betroffen?
Log4Shell bezeichnet die kritische Schwachstelle CVE-2021-44228 in Apache Log4j 2, durch die Angreifer unter bestimmten Bedingungen über präparierte Eingaben Code aus der Ferne ausführen konnten. Betroffen sind die Versionen Log4j 2.0-beta9 bis einschließlich 2.14.1; spätere Sicherheitslücken betrafen teilweise weitere Versionen. Daher sollten betroffene Systeme auf eine aktuell unterstützte, vom Hersteller empfohlene Version aktualisiert werden. Log4j 1.x ist von CVE-2021-44228 nicht direkt betroffen, wird jedoch nicht mehr unterstützt und sollte ebenfalls ersetzt werden.
Wie kann ich feststellen, ob meine Systeme von der Log4j-Schwachstelle betroffen sind?
Um festzustellen, ob Ihre Systeme von der Log4j-Schwachstelle betroffen sind, erfassen Sie zunächst alle Anwendungen, Server und Container und prüfen Sie, ob sie Apache Log4j 2 direkt oder als indirekte Abhängigkeit verwenden. Berücksichtigen Sie dabei auch Software von Drittanbietern und fragen Sie bei den jeweiligen Herstellern nach, wenn die enthaltenen Komponenten nicht eindeutig erkennbar sind. Vergleichen Sie die gefundenen Versionen mit den aktuellen Sicherheitshinweisen des BSI und der Hersteller; insbesondere ältere Log4j-2-Versionen können betroffen sein. Eine reine Suche nach Log4j-Dateien reicht nicht immer aus, daher sollten zusätzlich Softwareinventar- und Schwachstellenscanner eingesetzt werden. Aktualisieren Sie betroffene Produkte auf eine vom Hersteller unterstützte, korrigierte Version und prüfen Sie Protokolle auf mögliche Hinweise auf eine Ausnutzung.
Welche Maßnahmen empfiehlt das BSI bei einer Log4j-Schwachstelle?
Das BSI empfiehlt, zunächst alle betroffenen Systeme und Anwendungen zu identifizieren – auch solche, die Log4j indirekt über Software von Drittanbietern nutzen. Installieren Sie anschließend zeitnah die vom Hersteller bereitgestellten Sicherheitsupdates und prüfen Sie, ob die Aktualisierung erfolgreich war. Untersuchen Sie außerdem Protokolle und Systeme auf Hinweise auf eine mögliche Ausnutzung. Ist ein sofortiges Update nicht möglich, sollten betroffene Systeme nach Herstellerangaben vorübergehend geschützt oder vom Netz getrennt und die Situation nach dem Notfallplan bewertet werden. Maßgeblich sind stets die aktuellen Hinweise des BSI und der jeweiligen Hersteller.
Reicht es aus, Log4j zu aktualisieren, oder muss ich weitere Sicherheitsmaßnahmen ergreifen?
Ein Update auf eine aktuelle, vom Hersteller unterstützte und nicht betroffene Log4j-Version ist die wichtigste Maßnahme, reicht allein aber nicht immer aus. Prüfen Sie auch indirekte Abhängigkeiten und Produkte von Drittanbietern, kontrollieren Sie, ob alle Updates erfolgreich installiert wurden, und werten Sie Protokolle auf Hinweise auf eine mögliche Ausnutzung aus. Bei verdächtigen Anzeichen sollten Sie Ihren Notfallplan aktivieren und betroffene Systeme gezielt untersuchen. Beachten Sie außerdem die aktuellen Sicherheitshinweise des BSI und der jeweiligen Softwarehersteller.
Wo finde ich aktuelle Warnungen und Empfehlungen des BSI zu Log4j?
Aktuelle Warnungen und Empfehlungen zu Log4j finden Sie auf der offiziellen Website des Bundesamts für Sicherheit in der Informationstechnik (BSI), indem Sie dort nach „Log4j“ oder „Log4Shell“ suchen. Prüfen Sie außerdem die Sicherheitshinweise des CERT-Bund und die Mitteilungen der jeweiligen Softwarehersteller, da konkrete Maßnahmen von den eingesetzten Produkten und Versionen abhängen. Achten Sie auf Veröffentlichungs- und Aktualisierungsdaten, denn ältere Hinweise können inzwischen überholt sein.