{"id":11407,"date":"2021-12-15T15:15:00","date_gmt":"2021-12-15T14:15:00","guid":{"rendered":"https:\/\/phpstack-458049-1434344.cloudwaysapps.com\/?p=11407"},"modified":"2021-12-24T13:24:20","modified_gmt":"2021-12-24T12:24:20","slug":"log4shell-was-du-ueber-die-sicherheitsluecke-log4shell-wissen-solltest","status":"publish","type":"post","link":"https:\/\/www.caseking.de\/blog\/log4shell-was-du-ueber-die-sicherheitsluecke-log4shell-wissen-solltest","title":{"rendered":"Log4Shell: Was du \u00fcber die Sicherheitsl\u00fccke wissen solltest"},"content":{"rendered":"\n<h3 class=\"wp-block-heading\">Update vom 15.12.2021 15:15 Uhr<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Inzwischen wurde bekannt, dass das Update von Apache Log4j auf Version 2.15.0 einen nur unvollst\u00e4ndigen Schutz bietet. Die Entwickler haben mittlerweile Version 2.16.0 der Software ver\u00f6ffentlicht. Der Text wurde entsprechend angepasst. Au\u00dferdem wurde erg\u00e4nzt, dass an Version 2.12.2 f\u00fcr Java 7 noch gearbeitet wird. Wir haben zudem darauf hingewiesen, dass Endanwender auch Updates f\u00fcr weitere Ger\u00e4te in Betracht ziehn sollten, etwa NAS-Systeme oder Router.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr die j\u00fcngst entdeckte Sicherheitsl\u00fccke in der weit verbreiteten Java-Anwendung Apache Log4j namens <strong>Log4Shell<\/strong> hat das Bundesamt f\u00fcr Sicherheit in der Informationstechnik BSI <a href=\"https:\/\/www.bsi.bund.de\/SharedDocs\/Cybersicherheitswarnungen\/DE\/2021\/2021-549032-10F2.html\" target=\"_blank\" rel=\"noreferrer noopener\">die h\u00f6chste Alarmstufe Rot ausgerufen<\/a>. \u00dcber eine Schwachstelle in der Logging-Software l\u00e4sst sich beliebiger Code direkt auf Rechner einschleusen und ausf\u00fchren. Betroffen sind unter anderem das Spiel Minecraft, das Frontend UniFi Network Application der WLAN-Verwaltungssoftware Ubiquiti, der Virtualisierungssoftware VMWare oder der Kamera\u00fcberwachungssoftware von Cisco wie unter anderem <a href=\"https:\/\/www.heise.de\/thema\/Log4j\" target=\"_blank\" rel=\"noreferrer noopener\">Heise Online<\/a> und <a href=\"https:\/\/www.golem.de\/specials\/log4j\/\" target=\"_blank\" rel=\"noreferrer noopener\">Golem.de<\/a> berichten.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Wie gef\u00e4hrlich ist die Sicherheitsl\u00fccke Log4Shell?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Exemplarisch an Minecraft l\u00e4sst sich die Gef\u00e4hrlichkeit an der Sicherheitsl\u00fccke in Apache Log4j beschreiben. Sollte ein Minecraft-Server davon betroffen und bereits kompromittiert worden sein, k\u00f6nnten Angreifer von dort alle verbundenen Java-basierte Clients der plattform\u00fcbergreifende Minecraft: Java Edition ebenfalls mit Schadsoftware infizieren. M\u00f6glich w\u00e4re so die Verteilung von Ransomware oder Mining- und Bot-Software.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die Schwachstelle ist auch deshalb so gef\u00e4hrlich, weil sie sich vergleichsweise einfach ausnutzen l\u00e4sst. Anf\u00e4llige Versionen von Log4j protokollieren nicht nur Abfragen, sie verarbeiten auch Code, der in diesen Abfragen enthalten ist. So k\u00f6nnen sich Angreifer mit einfachen Codeschnipseln Zugriff auf Systeme verschaffen.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Wie gef\u00e4hrdet sind Gamer?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Microsoft hat in aller Eile die Version 1.18.1 von Minecraft ver\u00f6ffentlicht. Es gen\u00fcgt das Spiel zu beenden und neu zu starten. Der Loader installiert dann automatisch die bereinigte Variante. Im Taskmanager l\u00e4sst sich m\u00f6glicherweise feststellen, ob bereits Schadsoftware installiert worden ist, etwa wenn unbekannte Anwendungen eine ungew\u00f6hnlich hohe Last verursachen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Entwarnung gibt es indes wohl bei Steam. Sicherheitsforscher hatten zwar entdeckt, dass Apache Log4j in einer anf\u00e4lligen Version auf Steam-Servern l\u00e4uft. In <a href=\"https:\/\/www.reddit.com\/r\/Steam\/comments\/rd68yp\/a_vulnerability_in_log4jjava_logging_package\/\" target=\"_blank\" rel=\"noreferrer noopener\">einem Thread bei Reddit<\/a> wies der Valve-Angestellte JonP jedoch darauf hin, dass die Sicherheitsrichtlinien des Steam-Netzwerks grunds\u00e4tzlich das Ausf\u00fchren von Code in dieser Form verhindere und die Infrastruktur somit sicher sei. Der Steam-Client sei ohnehin nicht betroffen, er nutze das Einfallstor Log4j nicht.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Grunds\u00e4tzlich stehen entgegen erster Meldungen aber wohl weniger Endanwender im Fokus als IT-Infrasturkturen gro\u00dfer Firmen. Das legen Daten aus diversen Honeypots nahe, die Anfragen aus dem Internet in einer gesicherten Umgebung abfangen und analysieren.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Wer ist denn von Log4Shell besonders gef\u00e4hrdet?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Anhand \u00e4hnlicher Massenscans von Sicherheitsexperten <a href=\"https:\/\/github.com\/YfryTchsGD\/Log4jAttackSurface\" target=\"_blank\" rel=\"noreferrer noopener\">wird eine Liste anf\u00e4lliger Systeme gepflegt<\/a>, die es in sich hat. Neben Steam sind dort illustre Namen wie Twitter, Amazon, Apple Google, IBM und Tesla zu finden. Inwieweit Server dieser Unternehmen tats\u00e4chlich kompromittiert worden sind, ist gegenw\u00e4rtig kaum absch\u00e4tzbar. Professionelle Datendiebe werden angreifbare Systeme wohl zun\u00e4chst nur infiltrieren, um sie zu einem sp\u00e4teren Zeitpunkt f\u00fcr weitere Angriffe zu verwenden. Das Fatale an der Log4Shell-L\u00fccke ist jedoch, dass Log4j massenweise eingesetzt wird, oft ohne Wissen der Systemadministratoren. F\u00fcr sie d\u00fcrften es unruhige Tage werden.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Gibt es schon ein sicheres Update von Log4j?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Ja. Das <a href=\"https:\/\/logging.apache.org\/log4j\/2.x\/security.html\" target=\"_blank\" rel=\"noreferrer noopener\">Apache-Projekt hat bereits Version 2.16.0 f\u00fcr Java 8 ver\u00f6ffentlicht<\/a>, in der das Problem behoben wurde. F\u00fcr Java 7 ist Version 2.12.2 in Arbeit. Das Projekt gibt dort auch Tipps, wie Angriffe abgewehrt werden k\u00f6nnen. Sie sind f\u00fcr diejenigen gedacht, die nicht sofort die sichere Version von Apache Log4j installieren k\u00f6nnen. Auf <a href=\"https:\/\/github.com\/mergebase\/log4j-detector\" target=\"_blank\" rel=\"noreferrer noopener\">Github gibt es den log4j-detector<\/a> f\u00fcr Windows, Linux und macOS, der auch nicht sofort erkennbare Instanzen von Apache Log4j aufsp\u00fcrt und warnt, wenn es sich um eine unsichere Version handelt. Jeder, der Java-Anwendungen verwendet, sollte in den n\u00e4chsten Tagen auf Updates achten. Das gilt nicht nur f\u00fcr PCs, sondern auch f\u00fcr NAS-Systeme und Router. Mobile Ger\u00e4te sind bislang nicht betroffen.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Update vom 15.12.2021 15:15 Uhr Inzwischen wurde bekannt, dass das Update von Apache Log4j auf Version 2.15.0 einen nur unvollst&auml;ndigen Schutz bietet. Die Entwickler haben mittlerweile Version 2.16.0 der Software ver&ouml;ffentlicht. Der Text wurde entsprechend angepasst. Au&szlig;erdem wurde erg&auml;nzt, dass an Version 2.12.2 f&uuml;r Java 7 noch gearbeitet wird. Wir haben zudem darauf hingewiesen, dass [&hellip;]<\/p>\n","protected":false},"author":34,"featured_media":8806,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[2237,2226,2244,2229],"tags":[67,2573,172],"class_list":["post-11407","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-gaming","category-news","category-ratgeber","category-wissen-tipps","tag-minecraft","tag-security","tag-steam"],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v28.0 - https:\/\/yoast.com\/product\/yoast-seo-wordpress\/ -->\n<title>Security: Was du \u00fcber die Log4j-Sicherheitsl\u00fccke Log4Shell wissen solltest<\/title>\n<meta name=\"description\" content=\"Die Sicherheitsl\u00fccke Log4Shell in der Java-Anwendung Apache Log4j gilt als besonders gef\u00e4hrlich weil sie einfach ausgenutzt werden kann.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/www.caseking.de\/blog\/log4shell-was-du-ueber-die-sicherheitsluecke-log4shell-wissen-solltest\" \/>\n<meta property=\"og:locale\" content=\"de_DE\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Security: Was du \u00fcber die Log4j-Sicherheitsl\u00fccke Log4Shell wissen solltest\" \/>\n<meta property=\"og:description\" content=\"Die Sicherheitsl\u00fccke Log4Shell in der Java-Anwendung Apache Log4j gilt als besonders gef\u00e4hrlich weil sie einfach ausgenutzt werden kann.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.caseking.de\/blog\/log4shell-was-du-ueber-die-sicherheitsluecke-log4shell-wissen-solltest\" \/>\n<meta property=\"og:site_name\" content=\"Caseking Blog | Gaming-PCs, Hardware-News &amp; Modding-Guides\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/caseking\/\" \/>\n<meta property=\"article:published_time\" content=\"2021-12-15T14:15:00+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2021-12-24T12:24:20+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/www.caseking.de\/blog\/wp-content\/uploads\/2021\/09\/Gaming_News.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1080\" \/>\n\t<meta property=\"og:image:height\" content=\"1080\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"Marcel Bruns\" \/>\n<meta name=\"twitter:label1\" content=\"Verfasst von\" \/>\n\t<meta name=\"twitter:data1\" content=\"Marcel Bruns\" \/>\n\t<meta name=\"twitter:label2\" content=\"Gesch\u00e4tzte Lesezeit\" \/>\n\t<meta name=\"twitter:data2\" content=\"4\u00a0Minuten\" \/>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Security: Was du \u00fcber die Log4j-Sicherheitsl\u00fccke Log4Shell wissen solltest","description":"Die Sicherheitsl\u00fccke Log4Shell in der Java-Anwendung Apache Log4j gilt als besonders gef\u00e4hrlich weil sie einfach ausgenutzt werden kann.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/www.caseking.de\/blog\/log4shell-was-du-ueber-die-sicherheitsluecke-log4shell-wissen-solltest","og_locale":"de_DE","og_type":"article","og_title":"Security: Was du \u00fcber die Log4j-Sicherheitsl\u00fccke Log4Shell wissen solltest","og_description":"Die Sicherheitsl\u00fccke Log4Shell in der Java-Anwendung Apache Log4j gilt als besonders gef\u00e4hrlich weil sie einfach ausgenutzt werden kann.","og_url":"https:\/\/www.caseking.de\/blog\/log4shell-was-du-ueber-die-sicherheitsluecke-log4shell-wissen-solltest","og_site_name":"Caseking Blog | Gaming-PCs, Hardware-News &amp; Modding-Guides","article_publisher":"https:\/\/www.facebook.com\/caseking\/","article_published_time":"2021-12-15T14:15:00+00:00","article_modified_time":"2021-12-24T12:24:20+00:00","og_image":[{"width":1080,"height":1080,"url":"https:\/\/www.caseking.de\/blog\/wp-content\/uploads\/2021\/09\/Gaming_News.png","type":"image\/png"}],"author":"Marcel Bruns","twitter_misc":{"Verfasst von":"Marcel Bruns","Gesch\u00e4tzte Lesezeit":"4\u00a0Minuten"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/www.caseking.de\/blog\/log4shell-was-du-ueber-die-sicherheitsluecke-log4shell-wissen-solltest#article","isPartOf":{"@id":"https:\/\/www.caseking.de\/blog\/log4shell-was-du-ueber-die-sicherheitsluecke-log4shell-wissen-solltest"},"author":{"name":"Marcel Bruns","@id":"https:\/\/www.caseking.de\/blog\/#\/schema\/person\/499fc9c20cfe8b1a1edb06fa9b7b9c3b"},"headline":"Log4Shell: Was du \u00fcber die Sicherheitsl\u00fccke wissen solltest","datePublished":"2021-12-15T14:15:00+00:00","dateModified":"2021-12-24T12:24:20+00:00","mainEntityOfPage":{"@id":"https:\/\/www.caseking.de\/blog\/log4shell-was-du-ueber-die-sicherheitsluecke-log4shell-wissen-solltest"},"wordCount":692,"commentCount":0,"publisher":{"@id":"https:\/\/www.caseking.de\/blog\/#organization"},"image":{"@id":"https:\/\/www.caseking.de\/blog\/log4shell-was-du-ueber-die-sicherheitsluecke-log4shell-wissen-solltest#primaryimage"},"thumbnailUrl":"https:\/\/www.caseking.de\/blog\/wp-content\/uploads\/2021\/09\/Gaming_News.png","keywords":["Minecraft","Security","Steam"],"articleSection":["Gaming","News","Ratgeber","Wissen + Tipps"],"inLanguage":"de","potentialAction":[{"@type":"CommentAction","name":"Comment","target":["https:\/\/www.caseking.de\/blog\/log4shell-was-du-ueber-die-sicherheitsluecke-log4shell-wissen-solltest#respond"]}]},{"@type":"WebPage","@id":"https:\/\/www.caseking.de\/blog\/log4shell-was-du-ueber-die-sicherheitsluecke-log4shell-wissen-solltest","url":"https:\/\/www.caseking.de\/blog\/log4shell-was-du-ueber-die-sicherheitsluecke-log4shell-wissen-solltest","name":"Security: Was du \u00fcber die Log4j-Sicherheitsl\u00fccke Log4Shell wissen solltest","isPartOf":{"@id":"https:\/\/www.caseking.de\/blog\/#website"},"primaryImageOfPage":{"@id":"https:\/\/www.caseking.de\/blog\/log4shell-was-du-ueber-die-sicherheitsluecke-log4shell-wissen-solltest#primaryimage"},"image":{"@id":"https:\/\/www.caseking.de\/blog\/log4shell-was-du-ueber-die-sicherheitsluecke-log4shell-wissen-solltest#primaryimage"},"thumbnailUrl":"https:\/\/www.caseking.de\/blog\/wp-content\/uploads\/2021\/09\/Gaming_News.png","datePublished":"2021-12-15T14:15:00+00:00","dateModified":"2021-12-24T12:24:20+00:00","description":"Die Sicherheitsl\u00fccke Log4Shell in der Java-Anwendung Apache Log4j gilt als besonders gef\u00e4hrlich weil sie einfach ausgenutzt werden kann.","breadcrumb":{"@id":"https:\/\/www.caseking.de\/blog\/log4shell-was-du-ueber-die-sicherheitsluecke-log4shell-wissen-solltest#breadcrumb"},"inLanguage":"de","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.caseking.de\/blog\/log4shell-was-du-ueber-die-sicherheitsluecke-log4shell-wissen-solltest"]}]},{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/www.caseking.de\/blog\/log4shell-was-du-ueber-die-sicherheitsluecke-log4shell-wissen-solltest#primaryimage","url":"https:\/\/www.caseking.de\/blog\/wp-content\/uploads\/2021\/09\/Gaming_News.png","contentUrl":"https:\/\/www.caseking.de\/blog\/wp-content\/uploads\/2021\/09\/Gaming_News.png","width":1080,"height":1080},{"@type":"BreadcrumbList","@id":"https:\/\/www.caseking.de\/blog\/log4shell-was-du-ueber-die-sicherheitsluecke-log4shell-wissen-solltest#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/www.caseking.de\/blog"},{"@type":"ListItem","position":2,"name":"News","item":"https:\/\/www.caseking.de\/blog\/category\/news"},{"@type":"ListItem","position":3,"name":"Log4Shell: Was du \u00fcber die Sicherheitsl\u00fccke wissen solltest"}]},{"@type":"WebSite","@id":"https:\/\/www.caseking.de\/blog\/#website","url":"https:\/\/www.caseking.de\/blog\/","name":"Caseking Blog | Gaming-PCs, Hardware-News &amp; Modding-Guides","description":"Die neuesten Hardware und Games News, Ger\u00fcchte, Trends und vieles mehr","publisher":{"@id":"https:\/\/www.caseking.de\/blog\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.caseking.de\/blog\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"de"},{"@type":"Organization","@id":"https:\/\/www.caseking.de\/blog\/#organization","name":"Caseking GmbH","url":"https:\/\/www.caseking.de\/blog\/","logo":{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/www.caseking.de\/blog\/#\/schema\/logo\/image\/","url":"https:\/\/www.caseking.de\/blog\/wp-content\/uploads\/2021\/09\/logo.png","contentUrl":"https:\/\/www.caseking.de\/blog\/wp-content\/uploads\/2021\/09\/logo.png","width":367,"height":200,"caption":"Caseking GmbH"},"image":{"@id":"https:\/\/www.caseking.de\/blog\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/caseking\/","https:\/\/x.com\/caseking","https:\/\/www.instagram.com\/caseking.de","https:\/\/www.linkedin.com\/company\/caseking-gmbh\/","https:\/\/www.youtube.com\/channel\/UC8qA3SSeY04t_lWumt_SgEg"]},{"@type":"Person","@id":"https:\/\/www.caseking.de\/blog\/#\/schema\/person\/499fc9c20cfe8b1a1edb06fa9b7b9c3b","name":"Marcel Bruns","image":{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/secure.gravatar.com\/avatar\/97f54f496f36a2d7f73c2e95b889c7aaf3aa20866625c2f7d7b9852fa0e6573c?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/97f54f496f36a2d7f73c2e95b889c7aaf3aa20866625c2f7d7b9852fa0e6573c?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/97f54f496f36a2d7f73c2e95b889c7aaf3aa20866625c2f7d7b9852fa0e6573c?s=96&d=mm&r=g","caption":"Marcel Bruns"},"description":"Marcel stammt aus Bonn und ist im Berliner Umland aufgewachsen. Schon in der Schulzeit entwickelte er eine Leidenschaft f\u00fcr Technik und Gaming \u2013 seinen ersten PC zerlegte er direkt nach dem Auspacken, einfach um zu verstehen, wie er funktioniert. Bis heute baut er regelm\u00e4\u00dfig Gaming-PCs f\u00fcr sich und Freunde zusammen. Wenn er gerade nicht an seinem PC herumschraubt, taucht er gerne in die Welt der Anime ein und tr\u00e4umt davon, einmal Japan zu bereisen. In seiner Freizeit trifft man ihn entweder beim Zocken des neuesten AAA-Titels oder dabei, seine Teammates in League of Legends (mehr oder weniger absichtlich) zu inten.","url":"https:\/\/www.caseking.de\/blog\/author\/marcel-bruns"}]}},"_links":{"self":[{"href":"https:\/\/www.caseking.de\/blog\/wp-json\/wp\/v2\/posts\/11407","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.caseking.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.caseking.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.caseking.de\/blog\/wp-json\/wp\/v2\/users\/34"}],"replies":[{"embeddable":true,"href":"https:\/\/www.caseking.de\/blog\/wp-json\/wp\/v2\/comments?post=11407"}],"version-history":[{"count":11,"href":"https:\/\/www.caseking.de\/blog\/wp-json\/wp\/v2\/posts\/11407\/revisions"}],"predecessor-version":[{"id":11430,"href":"https:\/\/www.caseking.de\/blog\/wp-json\/wp\/v2\/posts\/11407\/revisions\/11430"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.caseking.de\/blog\/wp-json\/wp\/v2\/media\/8806"}],"wp:attachment":[{"href":"https:\/\/www.caseking.de\/blog\/wp-json\/wp\/v2\/media?parent=11407"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.caseking.de\/blog\/wp-json\/wp\/v2\/categories?post=11407"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.caseking.de\/blog\/wp-json\/wp\/v2\/tags?post=11407"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}