Diensten en gebruikers die de Apache Log4j logging library op hun servers gebruiken zijn kwetsbaar voor Remote Code Execution (RCE) aanvallen. Hieronder vallen mogelijk ook grote applicaties als Steam en Apple iCloud. Cyber threat intelligence bedrijf Bad Packets schrijft dat er al massaal gescand wordt naar servers die Log4j draaien, wat aangeeft dat de kwetsbaarheid al actief wordt misbruikt.
De Log4j logging library wordt ontwikkeld door de Apache Foundation en wereldwijd gebruikt om de status van- en informatie over servers bij te houden. Dit gebeurt bij allerlei diensten, zoals game servers voor Minecraft en cloud diensten als Apple iCloud of Steam. Ook belangrijke enterprise applicaties speciaal voor grote bedrijven kunnen kwetsbaar blijken.
De exploit maakt RCE mogelijk, waarmee aanvallers code kunnen uitvoeren zonder dat ze daar de juiste bevoegdheid voor hebben. De exploit is voor aanvallers zeer eenvoudig uit te voeren, omdat zij maar een specifieke lijn code hoeven te laten opnemen in het logboek. Dit maakt het voor cybercriminelen dus een fluitje van een cent om de controle over een server over te nemen. Een vergelijkbare exploit werd eerder al gebruikt bij de grote hack op het Amerikaanse kredietbedrijf Equifax in 2017.
De bug is in november al gevonden en gerapporteerd door het Alibaba Cloud Security Team, zo schrijft Bleeping Computer. Het Alibaba team geeft ook aan dat verschillende Apache frameworks met standaardinstellingen waarschijnlijk ook kwetsbaar zijn. Hieronder vallen onder andere Apache Struts2, Apache Solr, Apache Druid, Apache Flink.
Onderzoekers en beveiligingsbedrijven hebben al opgemerkt dat er actief gescand wordt naar servers die de kwetsbare Log4j library gebruiken. Volgens open source data security platform Lunasec zullen er de komende tijd nog meer applicaties kwetsbaar blijken. Op Twitter verschijnen er veelvuldig proof-of-concepts, waaruit blijkt dat de exploit bijzonder effectief is.
Proof of concept door @Twokilohertz
De Apache Foundation werkt al aan een patch, maar testversie van deze fix werd tot nu toe al door onderzoekers omzeild.
