Log4Shell: Klaffende Sicherheitslücke in Javas Log4j sorgt für Furore

[PCGH-Redaktion]

Jetzt ist Ihre Meinung gefragt zu Log4Shell: Klaffende Sicherheitslücke in Javas Log4j sorgt für Furore

Eine kritische Zero-Day-Lücke namens Log4Shell in der verbreiteten Java-Logging-Bibliothek Log4j gefährdet zahlreiche Server und Apps, die so von Angreifern einfach gekapert und kompromittiert werden können.

Bitte beachten Sie: Der Kommentarbereich wird gemäß der Forenregeln moderiert. Allgemeine Fragen und Kritik zu Online-Artikeln von PC Games Hardware sind im Feedback-Unterforum zu veröffentlichen und nicht im Kommentarthread zu einer News. Dort werden sie ohne Nachfragen entfernt.

Zurück zum Artikel: Log4Shell: Klaffende Sicherheitslücke in Javas Log4j sorgt für Furore

 

[cx19]

Erst mal einen Virenscanner laufen lassen. Kein Virus gefunden. Hacker abgewehrt. Puh, Glück gehabt.

 

[Thyel]

Bei uns auf der Arbeit läuft eine Solr-Instanz, die durch die Lücke betroffen ist. Habe die verantwortlichen Leute mal drauf hingewiesen. Mal schauen ob was passiert.

 

[nibi030]

Das ist so ziemlich der größte Nightmare seit Heartbleed...

Fefe schreibt:

• [l] Keine Sorge. Das BSI kümmert sich.
  

  Die Behörde erhöhte deswegen am Samstag ihre bestehende Cyber-Sicherheitswarnung für die Java-Bibliothek Log4j auf die Warnstufe Rot. Es handelt sich dabei um die höchste Kategorie der vierstufigen BSI-Skala für Cyber-Sicherheitswarnungen und um die gegenwärtig einzige Meldung in dieser Stufe.

  Seht ihr? Kümmert sich schon jemand. Müssen wir hier nichts mehr tun.
  Außerdem ist das ein Softwareproblem. Da kann man eh nichts machen.

Hatte mir am WE ne Appliance von einem Hersteller angeschaut der für sein gehärtetes OS wirbt und in der Tat konnte ich log4j nicht triggern....nachdem ich mir dann root Rechte verschafft hatte, war auch klar warum ... die haben die letzten 10 Jahre vergessen ihr log4j zu patchen und waren noch auf 1.x.x ...Glück muss man haben.

 

[RX480]

Microsoft warns Minecraft Java players about a major vulnerability - OC3D

Minecraft’s Java players need to update their game to secure it A security vulnerability has been uncovered in Minecraft’s Java version, an exploit within Java’s Log4j library that impacts numerous applications, not just Minecraft Java Edition. Microsoft has now urged all users of Minecraft Java...

www.overclock3d.net

 

[PureLuck]

... die haben die letzten 10 Jahre vergessen ihr log4j zu patchen und waren noch auf 1.x.x ...Glück muss man haben.

Problem dabei ist, dass die auch die alten 1.2.x-er Versionen eine andere Sicherheitslücke aufweisen:

NVD - CVE-2019-17571

nvd.nist.gov

Ich hab bei uns vorsichtshalber alle Dienste deaktiviert...

 

[t670i]

Ich habe ebenfalls am WE sämtliche Server nach Log4j abgesucht.
Tatsächlich nutzt unser ERP System Log4j in der Version 1.2.17. Wie es aktuell scheint ist diese Version in der Grundkonfiguration nicht betroffen.

Fun Fakt: Am 10.12.21 hat der Hersteller ein Update raus gebracht, das Log4j auf die anfällige V2 anhebt.
Ich dachte zuerst ich lese nicht richtig.

 

[wuselsurfer]

Wann werden wir diese Kaffee-Software endlich nicht mehr benötigen?

Sogar viele Finanzprogramme funktionieren nicht ohne den Fehlerhaufen.

 

[highco]

Java ist nicht anfälliger für Fehler als andere Sprachen und ist immer noch überall am Markt im Einsatz und das wird sich auch nicht ändern in den nächsten Jahren.

 

[raPid-81]

Soviel dazu dass "open source" immer besser ist. Wie @highco sagte, jede Sprache oder Bibliothek kann Sicherheitslücken enthalten. Die Frage ist: Wer patched schneller? Open Source Projekte oder Hersteller denen Schadensersatzklagen drohen?

Ich bin gespannt wie das hier ausgeht, bei uns sind diverse Altsysteme unserer Kunden in Betrieb. Was da teilweise noch "laufen muss" ist erschreckend, 20 Jahre alte Software ist noch harmlos. Legacy at it's best. Und das bei großen Versicherungen / Unternehmen...

 

[xActionx]

Soviel dazu dass "open source" immer besser ist. Wie @highco sagte, jede Sprache oder Bibliothek kann Sicherheitslücken enthalten. Die Frage ist: Wer patched schneller? Open Source Projekte oder Hersteller denen Schadensersatzklagen drohen?

Warum soll das jetzt ein Argument gegen Open Source sein? Liegt doch auf der Hand warum Open Source besser ist. Bei proprietärer Software wüssten wir heute nichts von der Sicherheitslücke aber der Hersteller hätte den passenden Exploit Code dazu an die Geheimdienste verscherbelt.

Java ist nicht anfälliger für Fehler als andere Sprachen und ist immer noch überall am Markt im Einsatz und das wird sich auch nicht ändern in den nächsten Jahren.

Natürlich ist Java anfälliger für Fehler als bspw. Rust, das mit einem Security-by-Design Prinzip entworfen wurde. Klar kann man in jeder Sprache Mist bauen, Java macht es einem da aber schon deutlich einfacher als bspw. Python.

 

[6Pac]

Soviel dazu dass "open source" immer besser ist. Wie @highco sagte, jede Sprache oder Bibliothek kann Sicherheitslücken enthalten. Die Frage ist: Wer patched schneller? Open Source Projekte oder Hersteller denen Schadensersatzklagen drohen?

Meist bekommt der Dienstleister zuerst eine auf die Mütze... leider
Der ist erster Ansprechpartner und die AGBs der Partnerverträge machen es möglich das der Hersteller oft erstmal raus ist.

Proprietäre Software kommt selten ohne "open source" Bestandteile aus und sei es "nur" der Unterbau.
Warum das Rad wieder neu erfinden, wenn man sich an existierenden bedienen kann?
O-Ton Hersteller: "Vom Grund auf neu entwickelt" <-- jaja is klar ?

Uns stresst gerade das Thema proprietäre Software, da wir nicht auf die im Server eingesetzte Bestandteile "schauen"
können.

@nibi030:
Habe heute auch in einer von uns eingesetzten Client Software nach log4j gesucht…
Die eingesetzte Version 1.x ist von 2006, bzw. das Importdatum.
Es muss aber grundsätzlich nicht schlecht sein, seine alte Software weiter einzusetzen.
Kommt erstmal auf den Anwendungsfall und das Sicherheitsrisiko an.

Bei uns kann man das Thema leider nicht schönreden.
Wir hängen mit einem Bein immer im Internet (Telefonie)

 

[raPid-81]

Warum soll das jetzt ein Argument gegen Open Source sein? Liegt doch auf der Hand warum Open Source besser ist. Bei proprietärer Software wüssten wir heute nichts von der Sicherheitslücke aber der Hersteller hätte den passenden Exploit Code dazu an die Geheimdienste verscherbelt.

Oh boy, auf diese Aluhut-Diskussion lasse ich mich nicht ein.

Ich sagte übrigens nirgends etwas gegen Open Source, Du hast meinen Beitrag anscheinend absichtlich falsch verstanden. Ich sagte nur dass Open Source "nicht immer besser" ist. Nicht mehr, nicht weniger. Von einigen hier wird ja propagiert dass Open Source grundsätzlich immer vorzuziehen ist, und da widerspreche ich einfach.

Meist bekommt der Dienstleister zuerst eine auf die Mütze... leider
Der ist erster Ansprechpartner und die AGBs der Partnerverträge machen es möglich das der Hersteller oft erstmal raus ist.

Kommt drauf an. Wir (als Dienstleister) müssen natürlich die Server / Software unserer Kunden patchen wenn es einen Patch gibt. Aber wir entwickeln den nicht, da kann der Kunde noch so Zeter und Mordio schreien. Seine Software, sein Problem.

Falls natürlich ein zentrales Bauteil oder zentraler Dienst (Firewalls, Switches, Hypervisor, Webserver) von UNS betroffen ist, dann müssen WIR an den Hersteller ran und denen auf die Füße treten, klar.

Proprietäre Software kommt selten ohne "open source" Bestandteile aus und sei es "nur" der Unterbau.
Warum das Rad wieder neu erfinden, wenn man sich an existierenden bedienen kann?
O-Ton Hersteller: "Vom Grund auf neu entwickelt" <-- jaja is klar ?

Mach ich genau so, bevor ich selbst ein Script schreibe schau ich auch erst mal ob es da nicht schon was gibt. Ich hab gar nicht die Zeit um alles immer selbst neu zu entwickeln.

Uns stresst gerade das Thema proprietäre Software, da wir nicht auf die im Server eingesetzte Bestandteile "schauen"
können.

I can relate. Wir setzen auch Software ein wo es in bestimmten Bereichen eine "Black Box" gibt, das kann echt nervig sein. Vor allem weil man dort nicht eingreifen kann.

 

[xActionx]

Oh boy, auf diese Aluhut-Diskussion lasse ich mich nicht ein.

Ich sagte übrigens nirgends etwas gegen Open Source, Du hast meinen Beitrag anscheinend absichtlich falsch verstanden. Ich sagte nur dass Open Source "nicht immer besser" ist. Nicht mehr, nicht weniger. Von einigen hier wird ja propagiert dass Open Source grundsätzlich immer vorzuziehen ist, und da widerspreche ich einfach.

"Aluhut"... Vor allem weil das bei Eternal Blue genau so passiert ist.

Mal ganz abgesehen davon, dass du keinerlei Szenarien vorbringen kannst, in denen Open Source nicht besser oder zumindest gleich gut ist.

 

[raPid-81]

"Aluhut"... Vor allem weil das bei Eternal Blue genau so passiert ist.

Mal ganz abgesehen davon, dass du keinerlei Szenarien vorbringen kannst, in denen Open Source nicht besser oder zumindest gleich gut ist.

Jetzt geht's aber ab hier, Eternal Blue wurde von der NSA geheim gehalten, da wusste bis zur Meldung auch Microsoft nichts von. So die offizielle Version, alles andere ist wie gesagt "Aluhut", außer Du hast Belege die das Gegenteil beweisen.

Beispiele in denen ich proprietär für besser als Open Source halte. Achtung: persönliche Meinung! Das lässt sich am Ende eh niemals endgültig feststellen:

DLSS > FSR
Office > Open Office (wenn man das Gesamtpaket und die Pflege betrachtet)
Windows > Linux (wenn man die Anwenderfreundlichkeit und Kompatibilität betrachtet)

Genauso kann ich auch Beispiele liefern die ganz klar Open Source favorisieren. Wie gesagt, beides hat seine Vor- und Nachteile.

 

[xActionx]

Jetzt geht's aber ab hier, Eternal Blue wurde von der NSA geheim gehalten, da wusste bis zur Meldung auch Microsoft nichts von. So die offizielle Version, alles andere ist wie gesagt "Aluhut", außer Du hast Belege die das Gegenteil beweisen.

Ahhh ja alles ist heute Aluhut... Bin mir sicher Micro$oft will nur das beste für die Nutzer. Sowas wie einen NSL der M$ dazu zwingt das ganze nicht zu patchen existiert natürlich nicht. Wie kann man nach der Veröffentlichung von Xkeyscore, Prism und den restlichen Snowden-Leaks noch so blauäugig sein?

Beispiele in denen ich proprietär für besser als Open Source halte. Achtung: persönliche Meinung! Das lässt sich am Ende eh niemals endgültig feststellen:

DLSS > FSR
Office > Open Office (wenn man das Gesamtpaket und die Pflege betrachtet)

DLSS und FSR kenne ich nicht gut genug um mir ein Urteil darüber bilden zu können, aber M$ Office ist ein sicherheitstechnischer Albtraum. Der Vergleich mit Libre wäre außerdem fairer und da hat M$ nicht viel entgegen zu setzten.

Windows > Linux (wenn man die Anwenderfreundlichkeit und Kompatibilität betrachtet)

Und was ist wenn man jeden anderen Aspekt betrachtet? Da Linux eindeutig die Nase vorne. Mal ganz abgesehen davon, dass Kompatibilität ein zweischneidiges Schwert ist. Linux ist zu deutlich mehr Hardware kompatibel als Windows es ist.

Genauso kann ich auch Beispiele liefern die ganz klar Open Source favorisieren. Wie gesagt, beides hat seine Vor- und Nachteile.

Nur, dass die Vorteile bei OpenSource überwiegen.

 

[hrIntelNvidia]

Wann werden wir diese Kaffee-Software endlich nicht mehr benötigen?

Sogar viele Finanzprogramme funktionieren nicht ohne den Fehlerhaufen.

Wieso Fehlerhaufen? Da draussen gibt es genauso viele verbuggte C/C++, C#,
Python, … Programme.

Es liegt nicht an der Sprache, sondern am Entwickler.

Java macht es einem da aber schon deutlich einfacher als bspw. Python.

Und warum bitte? Quelle?

 

[xActionx]

Wieso Fehlerhaufen? Da draussen gibt es genauso viele verbuggte C/C++, C#,
Python, … Programme.

Es liegt nicht an der Sprache, sondern am Entwickler.

Und warum bitte? Quelle?

Welche Quelle willst du da? Alleine die Tatsache, dass man in Java Datentypen managen muss und in Python nicht macht Java potenziell fehleranfälliger.

Hier sieht man auch, dass Software auf Java-Basis doppelt so häufig Schwachstellen aufweist, wie bspw. Python: https://www.whitesourcesoftware.com/most-secure-programming-languages/

 

[raPid-81]

Ahhh ja alles ist heute Aluhut... Bin mir sicher Micro$oft will nur das beste für die Nutzer. Sowas wie einen NSL der M$ dazu zwingt das ganze nicht zu patchen existiert natürlich nicht. Wie kann man nach der Veröffentlichung von Xkeyscore, Prism und den restlichen Snowden-Leaks noch so blauäugig sein?

Verschwörungstheorien ohne Belege bleiben Theorien, da hilft auch keine "Naivitäts-Unterstellung". Microsoft möchte vorrangig Geld verdienen, für die Aktionäre, um seine Mitarbeiter zu bezahlen, usw. Sie verdienen kein Geld wenn ihre Software dauerhaft von großen Sicherheitslücken betroffen ist. Sowas hat schon einige Firmen die Existenz gekostet.

DLSS und FSR kenne ich nicht gut genug um mir ein Urteil darüber bilden zu können, aber M$ Office ist ein sicherheitstechnischer Albtraum. Der Vergleich mit Libre wäre außerdem fairer und da hat M$ nicht viel entgegen zu setzten.

Ach MS hat nicht viel gegen Libre Office entgegen zu setzen? In welcher Welt?

Das gesamte Office Paket (Office + Exchange + Teams + zig weitere Integrationen) hat aktuell keine umfassende Konkurrenz. Das ist einer der Knackpunkte bei "proprietär" vs "open source" -> proprietär bekommst Du das Gesamtpaket und alles arbeitet "zusammen", open source musst du dir überall deine Teile zusammen suchen und es selbst zusammen frickeln (wenn das überhaupt möglich ist).

Und was ist wenn man jeden anderen Aspekt betrachtet? Da Linux eindeutig die Nase vorne. Mal ganz abgesehen davon, dass Kompatibilität ein zweischneidiges Schwert ist. Linux ist zu deutlich mehr Hardware kompatibel als Windows es ist.

Welchen anderen Aspekt? Bleib doch bitte nicht so vage...

Performance? Da ist Windows Server nicht so schlecht.
Stabilität? Da ist Linux auf jeden Fall vorne, wobei da die letzten Windows Server Versionen (seit 2016) aufgeholt haben.

Nur, dass die Vorteile bei OpenSource überwiegen.

Ja welche denn? Erzähl doch mal, oder bleibst Du immer so nebulös?

Welche Quelle willst du da? Alleine die Tatsache, dass man in Java Datentypen managen muss und in Python nicht macht Java potenziell fehleranfälliger.

Hier sieht man auch, dass Software auf Java-Basis doppelt so häufig Schwachstellen aufweist, wie bspw. Python: https://www.whitesourcesoftware.com/most-secure-programming-languages/

Aber C ist unangefochten, mit Abstand, auf Platz 1 der letzten 10 Jahre:

Das relativiert die Aussage doch deutlich...

 

[xActionx]

Verschwörungstheorien ohne Belege bleiben Theorien, da hilft auch keine "Naivitäts-Unterstellung". Microsoft möchte vorrangig Geld verdienen, für die Aktionäre, um seine Mitarbeiter zu bezahlen, usw. Sie verdienen kein Geld wenn ihre Software dauerhaft von großen Sicherheitslücken betroffen ist. Sowas hat schon einige Firmen die Existenz gekostet.

Blödsinn... Das kannst du genau so wenig beweisen. Bekannt ist, dass M$ bereits mit CIA und NSA zusammengearbeitet hat. Gleiches gilt für andere Tech-Riesen wie AT&T, die sogar ganze Räume nur für die Wiretaps der NSA in den Rechenzentren hatten/haben. Wenn die Regierung nämlich entscheidet dich für ihre Zwecke zu missbrauchen, dann passiert das. Sonst lässt sich nämlich gar kein Geld mehr verdienen, weil die den Laden dicht machen oder zerschlagen.

Ach MS hat nicht viel gegen Libre Office entgegen zu setzen? In welcher Welt?

Das gesamte Office Paket (Office + Exchange + Teams + zig weitere Integrationen) hat aktuell keine umfassende Konkurrenz. Das ist einer der Knackpunkte bei "proprietär" vs "open source" -> proprietär bekommst Du das Gesamtpaket und alles arbeitet "zusammen", open source musst du dir überall deine Teile zusammen suchen und es selbst zusammen frickeln (wenn das überhaupt möglich ist).

Rein Feature-technisch nicht. Nur der Support ist besser. Den braucht man aber auch wenn regelmäßig schädliche Macros in der Windoof/Office/AD-Umgebung randalieren.

Welchen anderen Aspekt? Bleib doch bitte nicht so vage...

Performance? Da ist Windows Server nicht so schlecht.
Stabilität? Da ist Linux auf jeden Fall vorne, wobei da die letzten Windows Server Versionen (seit 2016) aufgeholt haben.

Cluster-Support, Performance, Stabilität, Anpassungsfähigkeit, Boardmittel, Update-Workflows. Brauchst du noch mehr? Es hat schon seinen Grund, dass auf nahezu jedem Supercomputer Linux läuft und auf KEINEM Windows.

Ja welche denn? Erzähl doch mal, oder bleibst Du immer so nebulös?

Code lässt sich einfach reviewen, keinerlei Kosten, Workarounds/Patches/Hotfixes sind i.d.R. schneller verfügbar, Software wird schneller portiert, Anpassungsfähigkeit und so weiter.

Aber C ist unangefochten, mit Abstand, auf Platz 1 der letzten 10 Jahre:

Anhang anzeigen 1382009

Das relativiert die Aussage doch deutlich...

Ja und? Das weiß jeder das C und PHP noch beschissener sind... Inwiefern macht das Java jetzt besser?