am Wochenende veröffentlichte das BSI (Bundesamt für Sicherheit in der Informationstechnik) ein Schreiben zu einer sehr bedrohlichen Sicherheitslücke in einer Open Source Software namens Log4j.

https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2021/2021-549032-10F2.pdf?__blob=publicationFile&v=3

 

Die Sicherheitslücke hat einen Gefährdungswert: 10 von 10

log4j ist ein Framework zum Loggen von Anwendungsmeldungen in Java. Innerhalb vieler Open-Source- und kommerzieller Softwareprodukte hat es sich über die Jahre zu einem De-facto-Standard entwickelt. log4j gilt als Vorreiter für andere Logging-Frameworks, auch in anderen Programmiersprachen.

Was bedeutet das im Klartext:

Aktuell versuchen Hacker aus aller Welt aus dem Internet erreichbare Systeme zu Scannen um die Schwachstelle aufzuspüren. Auch unsere Kunden und wir selbst werden von diesen Scans betroffen sein.

Die oben genannte Technologie setzt so gut wie jeder große Softwarehersteller in irgendeinem seiner Produkte ein: VMWare, Cisco, Unifi, SAP, und und und.

Wird die Schwachstelle gefunden, kann sie genutzt werden um uneingeschränkt Code auf dem Zielsystem auszuführen. Das bedeutet man kann mit dem System machen was auch immer man will. z.B. die komplette Kundendatenbank kopieren, Patente klauen oder Zugangsdaten ausspionieren z.B. zum Onlinebanking.

Das IT Sicherheitsteam der CosH ist seit Sonntag damit beschäftigt die Sicherheitslücke zu analysieren.

Das allerwichtigste ist, dass Sie und Ihre Kollegen Ruhe bewahren.

Eines der größten Probleme der Sicherheitslücke ist, dass die Log4J Software (bzw. Framework) von so gut wie jedem Softwarehersteller eingesetzt wird. Das bedeutet, dass nicht nur die von uns verwaltete Basis der IT Betroffen ist, sondern vermutlich auch viele der Programme, die Sie im täglichen Gebrauch einsetzen.

1. Analyse der Sicherheitsprotokolle aus Firewall und Endpointsecurity
2. Bei Verdacht oder Fund von Vorkommnissen kontaktieren wir Sie proaktiv per Telefon
3. Wir besprechen telefonisch die nächsten Schritte

So können Sie über Ihren Hersteller checken ob Ihre Software Log4J einsetzt:

1. Öffnen Sie Google
2. Geben sie den folgenden CVE Code + den Namen Ihrer Software ein z.B.
3. CVE-2021-44228 SAP
4. Wenn der Hersteller schon Informationen zu der Lücke hat, werden Sie auf der Website etwas dazu finden.
5. Folgen Sie den Informationen und beauftragen Sie die Installation von Updates für Ihre Software
6. Sollten Sie keine Informationen finden, probieren Sie das gleiche am Folgetag
7. Haben Sie nach 7 Tagen keine Informationen gefunden, sollten Sie Ihren Systemhersteller per Email kontaktieren und explizit nachfragen ob das Log4J Framework in Ihrer Software zum Einsatz kommt.

Hier einige Dinge die Sie vielleicht checken sollten:

ERP System, CRM System, Bankingsoftware, Zeiterfassungssoftware, Buchhaltungs- Lohnabrechnungssoftware, Dokumentenmanagementsoftware, Telefoniesoftware, Videochatsoftware