Die Lücke im Java-Logger Log4j betrifft hunderte Millionen Java-basierter Anwendungen weltweit. Knapp ein Drittel der betroffenen Unternehmen hat noch keine Aktualisierung aufgespielt, um, die Schwachstelle zu schließen.

Ende 2021 machte sie erstmals von sich reden, die Schwachstelle namens Log4Shell, die Softwaresysteme basierend auf der Programmiersprache Java betrifft: Log4Shell ist eine Lücke in dem Programm Log4j – ein sogenannter Logger, der wie ein automatisches Notizbuch protokollieren soll, welche Programmschritte in Java ausgeführt oder welche Daten übertragen werden.

Schon kurz nach dem Bekanntwerden von Log4Shell im Dezember des vergangenen Jahres bewertete das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Cyberlücke mit der höchsten Warnstufe „Rot“.

Laut aktuellen Zahlen des amerikanischen Cloudsecurity-Anbieters Qualys mit Sitz im kalifornischen Foster City haben derzeit 30 Prozent der betroffenen Unternehmen diese schwerwiegende Schwachstelle immer noch nicht gepatcht, sprich Aktualisierungen auf ihre Systeme aufgespielt.

Schwer zu finden, aber leicht auszunutzen, gefährdet Log4Shell in kürzester Zeit Hunderte von Millionen Java-basierter Anwendungen, Datenbanken und Geräte. So verzeichnete Qualys allein in den ersten 72 Stunden nach Bekanntwerden der Lücke mehr als eine Million Angriffsversuche über die Schwachstelle.

Allein innerhalb des ersten Monats nach dem Bekanntwerden von Log4Shell stellten die Sicherheitsexperten von Qualys fest, dass 12 Prozent der gesamten Log4j-Installationen anfällig waren, während nur 5 Prozent es nicht waren.

Auf dem Höhepunkt der Krise erkannten die Security-Systeme von Qualys 22.000 potenzielle Angriffe pro Woche. Viele davon waren verstreute „Spray & Pray“-Angriffe – zu Deutsch: „versprühen & beten“ -, die versuchten, so viele Systeme wie möglich schnell zu infizieren.

Die durchschnittliche Zeit bis zur Behebung und Systemwiederherstellung nach der Entdeckung betrug 17 Tage. Systeme, die aus der Ferne ausgenutzt werden konnten, wurden schneller gepatcht (12 Tage), während interne Systeme langsamer waren.

Viele weitere Zahlen & Fakten zu den Auswirkungen von Log4Shell in der folgenden Infografik:

Quelle: Qualys

Verwandte Artikel:

9,7 Millionen Denial-of-Service-Angriffe-Angriffe im Jahr 2021 – minus 3 Prozent

1 von 5 Firmen würde für seine Daten Lösegeld zahlen – oder hat bereits gezahlt

Cybersecurity 2022: Die Hälfte der deutschen IT-Sicherheit ist veraltet

Ein Drittel der Schwachstellen in industriellen Kontrollsystemen betreffen das IoT