Log4Shell und kein Ende

Im Dezember des letzten Jahres gab es eine große und berechtigte Aufregung um eine Sicherheitslücke in einer Java Bibliothek mit dem Namen Log4Shell. Schnell waren Patches für die meisten relevanten Softwarepakete verfügbar und eigentlich sollte das keine Thema mehr sein.

Aber leider scheint dieser Sicherheitslücke immer noch nicht in allen Organisationen beseitigt worden zu sein. Und zwar nicht in irgendwelchen verstaubten uralten Javaprogrammen. Die US amerikanische “BSI” warnt immer noch vor “erfolgreichen” Angriffen auf VMWare Virtualisierungskomponenten für die es schon seit langem Patches gibt.

Malicious Cyber Actors Continue to Exploit Log4Shell in VMware Horizon Systems

Vor allem die folgende aus meiner Sicht berechtigte Aussage sollte langsam für etwas Wallung in den IT Abteilungen sorgen:

If updates or workarounds were not promptly applied following VMware’s release of updates for Log4Shell in December 2021, treat all affected VMware systems as compromised.

Wer also heute noch Server im Internet mit den genannten Produktversionen fährt sollte den Notfallplan für diese Systeme aktivieren.

Und für alle die glauben das da schon nichts passiert werden auch gleich reale Beispiele von gehackten Unternehmen mit geliefert.

Lunasec, CC BY-SA 4.0 CC BY-SA 4.0, via Wikimedia Commons