„Extrem kritische Bedrohungslage“
BSI warnt vor Schwachstelle in Java-Bibliothek Log4j
Das Bundesamt für Sicherheit in der Informationstechnik hat seine bestehende Cyber-Sicherheitswarnung für die Schwachstelle in der Java-Bibliothek Log4j auf Rot hochgestuft.
Die kritische Schwachstelle (Log4Shell) in der Java-Bibliothek Log4j führt nach Einschätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) zu einer extrem kritischen Bedrohungslage. Das BSI hat daher seine bestehende Cyber-Sicherheitswarnung auf die Warnstufe Rot hochgestuft. Ursächlich für diese Einschätzung sei die weite Verbreitung des betroffenen Produkts und die damit verbundenen Auswirkungen auf weitere Produkte, so das BSI. Die Schwachstelle ist zudem trivial ausnutzbar, ein Proof-of-Concept ist öffentlich verfügbar.
Eine erfolgreiche Ausnutzung der Schwachstelle ermöglicht eine vollständige Übernahme des betroffenen Systems. Dem BSI sind welt- und deutschlandweite Massen-Scans sowie versuchte Kompromittierungen bekannt. Auch erste erfolgreiche Kompromittierungen werden öffentlich gemeldet. Die neunte Ausgabe von Rockwell Automations „State of Smart Manufacturing“ Report liefert Einblicke in Trends und Herausforderungen für Hersteller. Dazu wurden über 1.500 Fertigungsunternehmen befragt, knapp 100 der befragten Unternehmen kommen aus Deutschland. ‣ weiterlesen
KI in Fertigungsbranche vorn
Auswirkungen auf weitere Produkte
Das Ausmaß der Bedrohungslage ist nach Einschätzung des BSI aktuell nicht abschließend feststellbar. Zwar gebe es für die betroffene Java-Bibliothek Log4j ein Sicherheits-Update, allerdings müssten alle Produkte, die Log4j verwenden, ebenfalls angepasst werden. Eine Java-Bibliothek ist ein Software-Modul, das zur Umsetzung einer bestimmten Funktionalität in weiteren Produkten verwendet wird. Es ist daher oftmals tief in der Architektur von Software-Produkten verankert. Welche Produkte verwundbar sind und für welche es bereits Updates gibt, ist derzeit nicht vollständig überschaubar und daher im Einzelfall zu prüfen. Das BSI erwartet, dass in den nächsten Tagen weitere Produkte als verwundbar erkannt werden.
Auch der Digitalverband Bitkom äußert sich besorgt: „Wenn das Bundesamt für Sicherheit in der Informationstechnik (BSI) Samstagnacht die Warnstufe Rot ausruft, dann ist die Bedrohungslage ernst, sehr ernst“, so Bitkom-Präsident Achim Berg. „Cyberkriminelle versuchen bereits aktiv, die Schwachstelle auszunutzen. Welt- und deutschlandweit erfolgen derzeit Massen-Scans sowie versuchte Kompromittierungen.“ Herstellerseitig müsse schnellstmöglich in Erfahrung gebracht werden, wo überall die Java-Bibliothek zum Einsatz kommt und die Sicherheitsupdates entsprechend ausgerollt werden, so Berg. Anwenderseitig gelte es, betroffene Systeme zu identifizieren, Abwehrmaßnahmen zu ergreifen und dafür den aktuellen Hinweisen des BSI zu folgen. „Gleichzeitig gilt es, alle verwundbaren Systeme auf eine Kompromittierung hin zu untersuchen, um auch weitere potenzielle Einfallstore zu schließen“, so Berg. Das Manufacturing Execution System (MES) HYDRA optimiert Produktionsprozesse für Fertigungsunternehmen, um Wettbewerbsvorteile zu erzielen. ‣ weiterlesen
MES-Integrator und 360-Grad-Partner für optimierte Fertigung
Empfehlungen des BSI
Das BSI empfiehlt insbesondere Unternehmen und Organisationen, die in der Cyber-Sicherheitswarnung skizzierten Abwehrmaßnahmen umzusetzen. Darüber hinaus sollten die Detektions- und Reaktionsfähigkeiten kurzfristig erhöht werden, um die eigenen Systeme angemessen überwachen zu können. Sobald Updates für einzelne Produkte verfügbar sind, empfiehlt das BSI diese einzuspielen. Darüber hinaus sollten alle Systeme, die verwundbar waren, auf eine Kompromittierung untersucht werden.
