13.12.2021 Kritische Schwachstelle in Java-Bibliothek Log4j

Log4Shell bedroht auch IBM i

Von: Berthold Wesseler

Das BSI spricht von Alarmstufe Rot: Als superkritisch bewertet wird die Schwachstelle Log4Shell in der weit verbreiteten Java-Bibliothek Log4j, die als Open-Source vom Apache-Projekt gepflegt wird. Betroffen sind praktisch alle wichtigen Online-Plattformen, von Apples iCloud über das Onlinespiel „Minecraft“ bis hin zu Amazon, aber auch zahlreiche Unternehmensanwendungen. Selbst IBM i ist nicht verschont. Die gute Nachricht: Der IBM HTTP Server (powered by Apache) for i ist nicht angreifbar, da in C und nicht in Java geschrieben.

Seit dem Wochenende heißt es Sonderschichten schieben für viele IT-Abteilungen, denn die bisher vielleicht gravierendste Sicherheitslücke gefährdet weltweit Millionen Anwendungen und Apps. Das Bundesamt für Sicherheit in der Informationstechnik stuft das Risiko auf der sogenannten CVSS-Skala mit 10 ein, dem höchstmöglichen Wert. Das BSI hat deshalb Samstagabend die IT-Bedrohungslage auf die höchste Warnstufe Rot erhöht und IT-Chefs ermahnt: Die Reaktionsfähigkeit sei „kurzfristig geeignet zu erhöhen“. Erste öffentliche Quellen weisen bereits auf breitflächiges Scannen nach verwundbaren Systemen hin; das BSI kann derartige Scan-Aktivitäten bestätigen.

Weltweit arbeiten daher alle IT-Hersteller und -Dienstleister mit Hochdruck an Lösungen für das Problem, natürlich auch IBM. Im letzten Update zur Apache Log4j Sicherheitslücke CVE-2021-44228 heißt es: „IBM reagiert aktiv auf die gemeldete Schwachstelle in der Apache Log4j 2 Java-Bibliothek, die als Log4Shell (oder LogJam) bezeichnet wird, die Remote-Codeausführung ermöglicht. Wir untersuchen und ergreifen Maßnahmen für IBM als Unternehmen, IBM-Produkte und IBM-Services, die möglicherweise betroffen sind, und werden fortlaufend Informationen veröffentlichen, um Kunden dabei zu helfen, Angriffe auf ihre IBM Produkte und Services zu erkennen, zu untersuchen und zu entschärfen, falls diese auftreten.“ Soweit erforderlich, werde ein Update auf Log4j Version 2.15 durchgeführt, um die Schwachstelle zu beheben; in der Zwischenzeit gibt es Abhilfemaßnahmen selbst in Fällen, in denen zusätzliche Kontrollschichten wie Netzwerkkontrollen und Web-Application-Firewalls die Ausnutzung dieser Schwachstelle verhindert haben. Ein Update der Liste mit den betroffenen und nicht betroffenen IBM-Produkten sowie verfügbaren Patches und empfohlenen Maßnahmen ist hier zu finden.

Derzeit erfolgt eine produktspezifische Analyse der Auswirkungen von Log4j. Falls ein IBM-Software- oder Systemprodukt betroffen ist, wird im Blog „Product Security Incident Response“ (PSIRT) ein Bulletin veröffentlicht, sobald eine Abhilfemaßnahme oder ein Fix verfügbar ist. Solche IBM Produkte vor Ort müssen dann vom Kunden aktualisiert werden.

Zum jetzigen Zeitpunkt empfiehlt IBM Unternehmen, die Apache Log4j einsetzen, die folgenden Maßnahmen zu ergreifen:

Prüfen Sie, ob in Ihren Umgebungen und Anwendungen anfällige Versionen von Apache Log4j vorhanden sind.
Implementieren Sie den neuesten Patch so schnell wie möglich in Ihre Produktionsumgebung.
Überwachen Sie IBM PSIRT auf Sicherheitsbulletins
Überwachen Sie die Patches der Hersteller, sobald diese verfügbar sind.

Referenzmaterial gibt es auf der Seite Log4j Security Vulnerability. IBM X-Force hat ebenfalls eine Analyse der Log4j-Sicherheitslücke erstellt, die im Security Intelligence Blog zu finden ist.

Im Apache Log4j Security Vulnerability Advisory finden sich auch temporäre Abhilfemaßnahmen für Kunden, die einen vorübergehenden Schutz brauchen, weil sie nicht in der Lage sind, Log4j in ihren System schnell zu finden und zu aktualisieren. Auch wenn das Patchen schwierig sein mag, so ist es doch die wichtigste Maßnahme, die man heute ergreifen sollte. Apache hat die Version 2.15.0-rc1 veröffentlicht, auf die kurz darauf 2.15.0-rc2 folgte, nachdem dafür eine Umgehung entdeckt worden war.

Zur Vorbeugung kann es hilfreich sein, eine Umgebung mit starken Netzwerksicherheitskontrollen zu entwerfen. In gut gestalteten Umgebungen können Server zum Beispiel nur Netzwerkverbindungen zu ausdrücklich genehmigten Zielen herstellen. Das Erstellen einer Firewall-Regel mit Standardverweigerung hindert Server daran, nicht genehmigte Verbindungen herzustellen, und kann dazu beitragen, das Risiko einer Kompromittierung zu verringern. Dies ist besonders wichtig für Server, die dem Internet ausgesetzt sind.

Betroffen sind außer dem HTTP Server for i unter anderem die IBM-Produkte „Integrated Web Service Server“ (IWS), weil der auf dem ebenfalls betroffenen Websphere Application Server aufbaut, sowie die Entwicklungsumgebung Rational Developer for i (RDi) und die Java-basierten Tools IBM i Access Client Solutions (ACS) sowie die Emulation TN5250J.

Abhilfemaßnahmen für ein erstes Produkt auf IBM i, das die Open-Source-Bibliothek Apache Log4j verwendet, hat IBM bereits veröffentlicht: Ein Patch für den Websphere Application Server (CVE-2021-44228). Von der Schwachstelle betroffen sind laut Hersteller die Websphere Application Server Admin Console und die UDDI Registry Application. Diese Sicherheitslücke wurde behoben; das Patch gibt es hier.

Bildquelle: iStock / Getty Images Plus