Gravierende SicherheitslŸcken in IT-Systemen
API's
LOG4j
Von Peter Welchering, DLF, 13.12.2021 (im Cache, audio)
Es passiert nicht oft, dass das Bundesamt fŸr Sicherheit in der Informationstechnik (BSI) eine Schwachstelle mit ihrer hšchsten Warnstufe Rot versieht. So eine SicherheitslŸcke Ð Log4Shell Ð hat sich gerade aufgetan. Sie šffnet Hackern TŸr und Tor fŸr Angriffe auf zahlreiche Server, Firmennetzwerke und Apps.
BSI, 16.12.2021 (im Cache)
Die Schwachstelle namens ãLog4ShellÒ in der weit verbreiteten Java-Bibliothek Log4j fŸhrt nach EinschŠtzung des Bundesamts fŸr Sicherheit in der Informationstechnik (BSI) weiterhin zu einer kritischen IT-Sicherheitslage (im Cache). Das BSI stellt aktuelle Informationen unter www.bsi.bund.de/dok/log4j (im Cache) zur VerfŸgung.
|
Nach wie vor besteht keine abschlie§ende Klarheit darŸber, welche IT-Produkte durch ãLog4ShellÒ verwundbar sind. |
Einen †berblick (im Cache) Ÿber den Verwundbarkeitsstatus zahlreicher IT-Produkte pflegt die niederlŠndische Partnerbehšrde des BSI, zu der auch das BSI selbst beitrŠgt.
Die Schwachstelle wird aktuell mit unterschiedlichen Angriffsformen weltweit ausgenutzt.
Aus Sicht des BSI ist mit einer breiten Ausnutzung der Schwachstelle und mit weiteren erfolgreichen Cyber-Angriffen zu rechnen. Diese kšnnen auch noch in einigen Wochen und Monaten folgen, wenn die genannte Schwachstelle jetzt fŸr eine Erstinfektion genutzt wird.
Es ist daher weiterhin wichtig, die vom BSI empfohlenen IT-Sicherheitsma§nahmen schnellstmšglich umzusetzen. Sofern Sicherheits-Updates fŸr verwundbare IT-Produkte zur VerfŸgung stehen, sollten diese durch alle Anwender eingespielt werden. Daher sind insbesondere Hersteller von IT-Produkten gefordert, ihre Produkte zu prŸfen und sie gegebenenfalls durch Sicherheits-Updates abzusichern.
Akut handeln mŸssen insbesondere Unternehmen und Organisationen und staatliche Stellen auf allen Ebenen. FŸr diese stehen auch kurzfristige Schutzma§nahmen zur VerfŸgung, die die Schwachstelle zwar nicht schlie§en, ihre Ausnutzung aber verhindern oder erschweren kšnnen. Daneben sollten Detektions- und Reaktionsma§nahmen (im Cache) gestŠrkt werden.
Verbraucher sind weniger stark gefŠhrdet, da die fragliche Java-Bibliothek auf EndgerŠten weniger stark verbreitet ist.
|
Allerdings kšnnen einzelne Anwendungen und smarte GerŠte (IoT-GerŠte) verwundbar sein. Verbraucher sind in der Regel darauf angewiesen, dass die Hersteller dieser Produkte entsprechende Sicherheitsma§nahmen treffen und bspw. Sicherheits-Updates zur VerfŸgung stellen. Die bestehenden kurzfristigen Schutzma§nahmen kšnnen in der Regel nur von erfahrenen Anwenderinnen und Anwendern umgesetzt werden. |
Das BSI wird seine Cyber-Sicherheitswarnung und seine Handlungsempfehlungen fortlaufend aktualisieren. Das Nationale IT-Krisenreaktionszentrum im BSI bleibt weiterhin aktiv. Das BSI steht in intensivem Austausch mit nationalen und internationalen Partnern.
Vorangegangene Pressemitteilung
Bonn, 11.12.2021. Die kritische Schwachstelle (Log4Shell) in der weit verbreiteten Java-Bibliothek Log4j fŸhrt nach EinschŠtzung des Bundesamts fŸr Sicherheit in der Informationstechnik (BSI) zu einer extrem kritischen Bedrohungslage. Das BSI hat daher seine bestehende Cyber-Sicherheitswarnung auf die Warnstufe Rot (im Cache) hochgestuft. UrsŠchlich fŸr diese EinschŠtzung ist die sehr weite Verbreitung des betroffenen Produkts und die damit verbundenen Auswirkungen auf unzŠhlige weitere Produkte. Die Schwachstelle ist zudem trivial ausnutzbar, ein Proof-of-Concept ist šffentlich verfŸgbar. Eine erfolgreiche Ausnutzung der Schwachstelle ermšglicht eine vollstŠndige †bernahme des betroffenen Systems. Dem BSI sind welt- und deutschlandweite Massen-Scans sowie versuchte Kompromittierungen bekannt. Auch erste erfolgreiche Kompromittierungen werden šffentlich gemeldet.
|
Das ganze Ausma§ der Bedrohungslage ist nach EinschŠtzung des BSI aktuell nicht abschlie§end feststellbar. Zwar gibt es fŸr die betroffene Java-Bibliothek Log4j ein Sicherheits-Update, allerdings mŸssen alle Produkte, die Log4j verwenden, ebenfalls angepasst werden. Eine Java-Bibliothek ist ein Software-Modul, das zur Umsetzung einer bestimmten FunktionalitŠt in weiteren Produkten verwendet wird. Es ist daher oftmals tief in der Architektur von Software-Produkten verankert. Welche Produkte verwundbar sind und fŸr welche es bereits Updates gibt, ist derzeit nicht vollstŠndig Ÿberschaubar und daher im Einzelfall zu prŸfen. Es ist zu erwarten, dass in den nŠchsten Tagen weitere Produkte als verwundbar erkannt werden. |
Das BSI empfiehlt insbesondere Unternehmen und Organisationen, die in der Cyber-Sicherheitswarnung skizzierten Abwehrma§nahmen umzusetzen. DarŸber hinaus sollten die Detektions- und ReaktionsfŠhigkeiten kurzfristig erhšht werden, um die eigenen Systeme angemessen Ÿberwachen zu kšnnen. Sobald Updates fŸr einzelne Produkte verfŸgbar sind, sollten diese eingespielt werden. DarŸber hinaus sollten alle Systeme auf eine Kompromittierung untersucht werden, die verwundbar waren.
Weitere Informationen
Kritische Schwachstelle in Log4j
CVE-2021-44228, CVE-2021-45046, CVE-2021-45105
Arbeitspapier "Detektion und Reaktion, Version 1.4,
Stand 20.12.2021 (im Cache)
... Die besondere KritikalitŠt des Themenkomplexes ergibt sich aus der generellen Ausnutzbarkeit, die auch fŸr
FolgeaktivitŠten wie das Ausrollen von Ransomware oder die Kompromittierung von nachgelagerten
Systemen und Produkten genutzt werden kann.
Beschreibung der Schwachstelle
Log4j ist eine beliebte Protokollierungsbibliothek fŸr Java -Anwendungen. Sie dient der performanten Aggregation von Protokolldaten einer Anwendung. Die Bibliothek ist in vielen Softwareprodukten enthalten. Java-Software verwendet Ÿblicherweise nicht die vom Betriebssystem bereitgestellten Systembibliotheken, sondern liefert die notwendigen Bibliotheken selbst mit, sodass verwundbare Versionen der Bibliothek auch auf dem System vorhanden sein kšnnen, ohne dass Log4j durch die Administrierenden selbst explizit installiert wurde.
2.2 Betroffene Produkte
Durch die Vielzahl der Produkte, die Log4j einbinden und deren Konfigurationsoptionen ist eine vollstŠndige Liste der verwundbaren Produkte nicht erstellbar. Eine Liste von potenziell gefŠhrdeten Produkten [5] wird gepflegt, erhebt aber keinen Anspruch auf VollstŠndigkeit. Die hohe Verbreitung von Java zum Beispiel auch im Privatanwender -, Netzwerkinfrastruktur- und Smartphonebereich legt nahe, dass neben Servern potenziell sehr viele weitere Systeme betroffen sein kšnnen, insbesondere auch wenn es sich um selbst entwickelte Anwendungen von Unternehmen handelt. Dies zeigt auch eine weitere Sammlung betroffener Produkte [6] .
Aufgrund der derzeit nicht Ÿberschaubaren Vielfalt der verwundbaren Anwendungen kann diese Schwa chstelle sowohl z. B. Webseiten und automatisierte Schnittstellen als auch Client-Anwendungen betreffen. DarŸber hinaus kšnnen auch Anwendungen betroffen sein, die in eingebetteten Systemen und Komponenten zur industriellen Steuerung (z.B. Siemens [7], Schneider Electric [8] ) eingesetzt werden.
2.3 Gefahren
2.3.1 Exponierte IT-Systeme ins Internet
Die folgenden Gefahren bestehen, wenn Log4j verwendet wird, um eine vom Angreifern kontrollierte Zeichenkette wie beispielsweise Ð im Falle einer Webanwendung Ð den HTTP User Agent zu protokollieren. Sollten die verwundbaren IT-Systeme Verbindungen ins Internet aufbauen und nicht nur entgegennehmen kšnnen, kann Ÿber die Schwachstelle schŠdlicher Programmcode nachgeladen werden. DafŸr kšnnen auch Protokolle verwendet werden, die Ÿblicherweise nur innerhalb von IT-Netzwerken zum Einsatz kommen, wie beispielsweise LDAP. UnabhŠngig von der Mšglichkeit Schadcode nachzuladen, kšnnen durch DNS-Anfragen trotzdem Informationen wie beispielsweise Umgebungsvariablen zum Angreifern gelangen. In diesen Umgebungsvariablen werden je nach Anwendungsfall auch Benutzerkennungen und Authentifikationsmerkmale gespeichert, sodass ein Abfluss der Daten mit der Kompromittierung dieser Informationen gleichzusetzen ist. Auch kšnnten Angreifer gegebenenfalls sensible Informationen in die Protokolldaten ausleiten. Bisher konnte nicht gesichert nachgewiesen werden, dass eine AusfŸhrung von Schadcode auch mit untersagten Kommunikationsbeziehungen mšglich ist, allerdings war dies bei Šhnlich gelagerten Schwachstellen in der Vergangenheit unter bestimmten UmstŠnden der Fall.
Durch den im Internet frei verfŸgbaren Quelltext einer beispielhaften Ausnutzung der Schwachstelle (ãProof of ConceptÒ) [9], kšnnen Angreifer mit sehr geringem Aufwand verwundbare Systeme auffinden und die Schwachstelle anschlie§end ausnutzen. Solche automatisierten Ausnutzungen konnten bereits durch das BSI beobachtet werden. Ebenfalls wurden bereits erfolgreiche Kompromittierungen mit z. B. Kryptominern und Ransomware [10] bestŠtigt; eine Rekrutierung in Botnetze scheint ebenfalls wahrscheinlich. Neben diesen Infektionen wurde auch schon Ÿber den Einsatz von so genannten Post-Exploitation-Frameworks wie Cobalt Strike berichtet. Solche Anwendungen werden von Angreifern genutzt, um weitere Aktionen auf dem angegriffenen System auszufŸhren. Dies kann zum Beispiel das Verschleiern des Angriffs, das Nachladen eines Root-Kits oder von Ransomware beinhalten. Es kšnnen auch Systeme verwundbar sein, die nicht explizit aus dem Internet erreichbar sind, aber z. B. Daten von im Internet exponierten Diensten verarbeiten. Gibt beispielsweise eine Internetseite Suchanfragen an einen Java-basierten internen Suchindexdienst weiter, dann ist dieser ebenfalls gefŠhrdet.
Eine Šhnliche Problematik kšnnten Spamfilter oder Virenscanner, die Java-basiert sind, aufzeigen. Das sind lediglich zwei von zahlreichen mšglichen Konstellationen.
2.3.2 Ausbreitung im internen Netzwerk
Sowohl nach au§en (ins Internet) exponierte IT-Systeme als auch interne Systeme, welche keine Verbindungen ins Internet aufweisen, kšnnen durch die veršffentlichten Schwachstellen angegriffen werden. Eine Mšglichkeit zur Infektion von nicht aus dem Internet erreichbaren Systemen bietet die grundsŠtzliche WurmfŠhigkeit der Schwachstelle.
Angreifer mit Zugriffen auf interne Systeme kšnnen die Schwachstellen bspw. fŸr die Bewegung im internen Netzwerk nutzen (eng. ãLateral MovementÒ). DarŸber hinaus kšnnen Angreifer die Schwachstellen fŸr Angriffe auf ESXi Server verwenden (Hypervisor Jackpotting [2]) und somit SchŠden in Unternehmen anrichten.
Exchange-Server Hack im MŠrz 2021
Ein weltweiter Angriff auf Microsofts Exchange Server: Im MŠrz hatten sich Hacker gleich Ÿber vier SicherheitslŸcken in den Microsoft Exchange-Server-Versionen 2013, 2016 und 2019 eingenistet. Unternehmen und Behšrden weltweit nutzen Kollaborationssoftware wie Microsoft Exchange zur zentralen Steuerung aller administrativen UnternehmensablŠufe, sowie interner und externer Zusammenarbeit und Kommunikation.
Die Angriffe wurden der chinesischen Hackergruppe ãHafniumÒ zugeschrieben. Angreifer kšnnen die Authentifizierung umgehen, was ihnen Zugang zu und Kontrolle Ÿber alle Inhalte ermšglicht. Zudem kann dann Code installiert werden, der ihnen, auch nachdem das System spŠter gepatcht wurde, weiter Zugang zu den GerŠten ihrer Opfer im Netzwerk gewŠhrt. Das macht die SicherheitslŸcke und die Angriffe derzeit unkalkulierbar. Es gab von Microsoft schnell ein Sicherheitsupdate, doch das mŸssen die betroffenen Firmen und Institutionen selbst installieren. Dadurch drŠngt die Zeit und die Angriffswahrscheinlichkeit wŠchst. SchŠtzungsweise rund 250.000 Systeme waren betroffen Ð 30 Prozent davon in der DACH-Region, darunter zahlreiche Behšrden.
Das BSI hat bestŠtigt, da§ es Angriffe auf Bundesbehšrden gab und es weiterhin Tausende offener Systeme in Deutschland gibt, die nicht gesichert wurden und Angreifern immer noch offenstehen. Datendiebstahl und Ransomware-Attacken in gro§em Umfang kšnnen erfolgen, und Angriffe auf Produktionsanlagen aus verschiedensten Industriezweigen kšnnen die Produktion stillegen.
Es gelingt Erpressern immer wieder, die digitale Infrastruktur ganzer Landkreise lahmzulegen. Behšrden kommen oft nicht hinterher, kritische LŸcken zŸgig zu schlie§en. Selbst wenn gepatcht wurde, sieht die Situation der Behšrden-IT oft nicht gut aus. Es hŠufen sich die Ransomware-FŠlle in šffentlichen Einrichtungen: Besonders schlimm traf es im Sommer den Landkreis Anhalt-Bitterfeld, der sogar den Katastrophenfall ausrufen musste, um UnterstŸtzung der Bundeswehr zu bekommen. Wochenlang musste die IT-Infrastruktur neu aufgebaut werden. Die Kreisverwaltung blieb geschlossen.
Auch au§erhalb der šffentlichen Verwaltung finden sich nach wie vor etliche verwundbare Exchange-Server. Insgesamt ist die Lage hšchst kritisch: Das BSI warnte Ÿber Twitter am 30. November, dass circa 12.000 Server in Deutschland von mindestens einer kritischen LŸcke betroffen seien Ð das entspreche 30 Prozent der Server, die dem BSI bekannt sind.
Quellen:
Gestohlener Azure-Master-Key: Microsofts Sicherheitsversagen ist jetzt amtlich
Von Dr. Oliver Diedrich, heise.de, 3.4.2024 (im Cache)
Vermeidbare Fehler, Unternehmenskultur der Unsicherheit: Die US-amerikanische Cybersicherheitsbehšrde CISA erhebt massive VorwŸrfe gegen Microsoft
... Im Sommer letzten Jahres war bekannt geworden, dass vermutlich chinesische Hacker einen Master-Key fŸr die Azure-Cloud gekapert und damit unter anderem auf die Online-Exchange-Accounts diverser Regierungsbehšrden zugegriffen haben.
...Insgesamt habe man eine Reihe von strategischen und operativen Entscheidungen gefunden, die aus einer Unternehmenskultur resultieren, die der Sicherheit und dem Risikomanagement nur geringe PrioritŠt einrŠumen. Ein Unternehmen wie MicrosoE, das so wichtig fŸr WirtschaE und Sicherheit der USA ist, mŸsse jedoch hšchste Standards bei Sicherheit, Verantwortlichkeit und Transparenz erfŸllen.
Sicherheitspannen bei Microsoft sollen Behšrden und Firmen gefŠhrdet haben
Michael Gessat, Computer und Kommunikation, Deutschlandfunk, 20.4.2024 (im Cache)
Kettenreaktion: Cyberangriffe auf Blockchains werden immer hŠufiger
Peter Welchering, Computer und Kommunikation, Deutschlandfunk, 30.3.2024 (im Cache)
Die Cyber-Security Conference diskutiert Strategien fŸr den modernen Krieg
Peter Welchering, Computer und Kommunikation, 17. Februar 2024, 16:30 Uhr
----------------------------------------------------------------------------------------------------------------------------
Arne Schšnbohm, BSI
BSI unter Beschuss Ð Bšhmermann und Faeser sŠgen an Schšnbohms Stuhl
Ein Kommentar von JŸrgen Schmidt, Heise Online, 10.10.2022 (im Cache)
... das Bundesamt fŸr Sicherheit in der Informationstechnik (BSI) unter Schšnbohm sprach sich wiederholt und šffentlich fŸr das sofortige Schlie§en aller SicherheitslŸcken aus (im Cache). HintertŸren in der VerschlŸsselung erteilte das BSI konsequent eine Absage. Zu gefŠhrlich sei das Spiel mit absichtlich geschwŠchter Kryptografie oder Schwachstellen, die man selbst ausnutzen und deshalb lieber offen lassen wolle. Das ist IT-Sicherheit, wie sie von Fachleuten gefordert wird.
Im Bundesinnenministerium unter Nancy Faesers Leitung hingegen steht aktuell das sogenannte "Schwachstellen-Management" weit oben auf der politischen Agenda. Das ist ein Euphemismus fŸr: "die Schlechten ins Tšpfchen, die Guten ins Kršpfchen". Bestimmte SicherheitslŸcken will man lieber erst selbst ausnutzen, bevor man sie dem Hersteller meldet und damit fŸr alle unbrauchbar macht Ð was ja letztlich im Interesse der IT-Sicherheit wŠre. Vorbild ist der US-amerikanische Vulnerabilities Equities Process (VEP), wo in jedem Einzelfall entschieden wird. Bei ausreichend gro§em "nationalem Interesse" muss die Sicherheit der Allgemeinheit dann eben mal zurŸckstehen.
... Alles in allem wirken die im ZDF Magazin Royale [von Bšhmermann] erhobenen VorwŸrfe vielmehr wie ein nur allzu willkommener Anlass, einen Beamten zu entsorgen, der sich Feinde im BMI gemacht hat. Nicht wegen herbeigeredeter, angeblicher Interessenverstrickungen mit Russland, sondern weil er der Stimme von IT-Security-Fachleuten ein offizielles Gesicht gegeben hat.
Damit steht er den PlŠnen zum Ausbau von staatlicher †berwachung und Fantasien von Hackbacks im Cyberspace im Weg.
Angebliche AffŠre Schšnbohm: Innenministerin Faesers Versagen
Innenministerin Faeser bleibt in der AffŠre Schšnbohm Argumente schuldig, warum das Vertrauen in den BSI-Chef weg ist Ð und verspielt Vertrauen.
Ein Kommentar von Falk Steiner, Heie Online, 24.11.2022 (im Cache)
...
VorwŸrfe gegen Schšnbohm lassen sich kaum erhŠrten
In einem Schreiben des [BSI-] VizeprŠsidenten Gerhard SchabhŸser an die zustŠndigen Stellen des BSI (im Cache)Ð per IFG šffentlich geworden Ð legte dieser ausfŸhrlich dar, wie das PrŸfverfahren im Fall Protelion abgelaufen ist. Und SchabhŸser wurde deutlich: "In Hinblick auf die gesetzlichen ZustŠndigkeiten und Befugnisse des BSI entbehren die nunmehr aus dem Zertifizierungsverfahren abgeleiteten VorwŸrfe gegen den PrŠsidenten des BSI und seine Mitarbeiterinnen und Mitarbeiter jeder Grundlage."
ABOUT PROTELION (im Cache)
Rapid digitalization has dramatically changed the traditional information security paradigm. Instead of network centric security built to protect office networks and data centers, the digitally connected world requires security designed to protect distributed users and devices independent of their locations.
Protelion understood this seismic shift and developed our vision steeped in Zero Trust principles. We assembled a team of international cyber experts to redefine security. The resulting Protelion Security Platform is uniquely architected to deliver inspired security solutions that combine greater protection, flexibility, and performance.
We are at the forefront of applying innovative approaches and creating ingenious products to help you protect your digital universe. Our products meet the exacting standards of German design and international certification bodies.
Our head office is in Berlin, Germany yet we have global reach with staff and distribution partners based throughout EMEA, the USA and Latin America.
Die BSI-Konferenz schlŠgt wegen zunehmender Gefahr fŸr die IT Alarm
Welchering, Peter, Computer und Kommunikation, Deutschlandfunk, 13. Mai 2023
(im Cache)
Version: 1.7.2024
Adresse dieser Seite