Unternehmen aus der ganzen Welt haben schnelle Hilfe in Anspruch genommen, insbesondere solche mit komplexen IT-Umgebungen, die SAP-Software und Cisco AppDynamics Monitoring einsetzen und anfällige Unternehmensanwendungen in Angriff nehmen müssen.

‍

CHICAGO, IL | 23. Dezember 2021

‍

Spezialisten von Evolutio und EPI-USE Labs unterstützen Unternehmen bei der Beratung, Identifizierung und Entschärfung der Schwachstelle im Log4j-Framework, die umgangssprachlich auch als Log4Shell bezeichnet wird. Das Thema steht ganz oben auf der To-Do-Liste der IT- und Sicherheitsteams von Unternehmen, da das Kalenderjahr 2021 zu Ende geht.

Devin Stonecypher, Director of Security bei Evolutio, erklärt die Bedrohung folgendermaßen: "Es sind drei Faktoren, die Log4Shell so gefährlich machen. Erstens ist die anfällige Bibliothek log4j weit verbreitet. Zweitens ist die Sicherheitslücke erschreckend einfach auszunutzen. Drittens gibt das Ausnutzen der Schwachstelle Angreifern die Möglichkeit, beliebigen Code aus der Ferne auf kompromittierten Systemen auszuführen."

Am 9. Dezember 2021 wurde die kritische Zero-Day-Schwachstelle im Apache Log4j-Framework öffentlich bekannt gegeben, die im CVE-Katalog (Common Vulnerabilities and Exposures) als CVE-2021-44228 bezeichnet wird. Die Apache Software Foundation bewertete die Schwachstelle mit dem Common Vulnerability Scoring System (CVSS) mit 10, der höchstmöglichen Punktzahl.

Unternehmen können gefährdet sein, ohne es zu merken, da die Log4j-Bibliothek in zahlreichen Frameworks, Tools und Laufzeitumgebungen weit verbreitet ist. Eine anfällige Anwendung könnte sogar den Zugriff auf andere, nicht verwandte Anwendungen und Datenspeicher ermöglichen.

Stonecypher hat bei Unternehmenskunden einen hoffnungsvollen Ausblick aufrechterhalten und sie bei Bedarf über die Grundlagen aufgeklärt. "In allen Anwendungen sind Code-Bibliotheken versteckt, die der Anwendungsentwickler nicht geschrieben und nicht persönlich überprüft hat. Bei diesen Bibliotheken handelt es sich um kleine (manchmal auch nicht so kleine) Bündel von vorformuliertem Code, die eine bestimmte Funktion oder eine Reihe von Funktionen ausführen. Log4Shell weist Ähnlichkeiten mit der SolarWinds-Schwachstelle auf, da es sich in beiden Fällen um Sicherheitslücken in der Software-Lieferkette handelt. Die Sicherheitslücke, die zum SolarWinds-Vorfall führte, war eine böswillige Einbindung (ein Angriff) in eine Bibliothek, und bei der Log4Shell-Sicherheitslücke wird derzeit davon ausgegangen, dass es sich um eine versehentliche Einbindung in die Log4j-Bibliothek handelt. Aber beides sind Schwachstellen in der Software-Lieferkette", so Stonecypher.

Jaco Prinsloo, Principal bei EPI-USE Labs und strategischer Partner von Evolutio, sagte: "SAP, AppDynamics und die meisten anderen Softwareanbieter haben Sicherheitshinweise herausgegeben, in denen sie detailliert beschreiben, welche Produkte betroffen sind und wie. Wir haben gesehen, dass einige Kunden gut auf diese Sicherheitshinweise reagiert haben, mit starken internen Experten, die die Abhilfemaßnahmen implementieren und sicherstellen können, dass die Schwachstellen wirklich gepatcht werden. Einige Kunden haben jedoch Schwierigkeiten und brauchen offensichtlich Hilfe, um diese Schwachstellen wirksam zu beseitigen.

Prinsloo fährt fort: "Einige Kunden, mit denen wir gesprochen haben, waren von dem Ausmaß dieser Sicherheitslücke überrascht. Sie wissen, dass einige ihrer Produkte mit Java laufen, aber sie wussten nicht, wie viele. SAP zum Beispiel nutzt Java in großem Umfang für eine Reihe von Dienstleistungen und Produkten.

Adam Ties, CEO von Evolutio, sagte: "Unmittelbar nach Bekanntwerden der Nachricht begannen unsere Kunden den Schmerz zu spüren, der sich im Laufe des Wochenendes noch verstärkte. Da wir in der Lage sind, mit Lösungen und Anleitungen zu helfen, haben wir unsere Reaktion angesichts des erheblichen Risikos hochgradig negativer Auswirkungen dieses Sicherheitsereignisses priorisiert."

Evolutio und EPI-USE Labs bieten mit ihren Spezialisten Beratungsgespräche an, um zu überprüfen, ob die Unternehmen die Schwachstellen richtig angehen. Sie bieten automatisiertes Scannen und moderne Tools an, um anfällige Anwendungen zu finden, wobei der Schwerpunkt auf IT-Umgebungen liegt, in denen SAP-Software oder Cisco AppDynamics Monitoring eingesetzt wird. Die beiden Organisationen haben Unterstützung bei der eigentlichen Schadensbegrenzung angeboten, insbesondere in komplexeren Szenarien. Und schließlich können Evolutio und EPI-USE Labs Ratschläge für die künftige Absicherung von Systemen geben, einschließlich Vorschlägen zu Tools und Risikomanagement.

‍

‍

ÜBER EVOLUTIO (https://www.evolutiops.com):

Evolutio hat sich darauf spezialisiert, Unternehmen bei der Lösung der operativen Herausforderungen zu helfen, die mit dem Aufbau und der Skalierung komplexer Unternehmensanwendungen verbunden sind, und bringt mit Hilfe von vier Praxisbereichen Einfachheit und Governance in das Chaos: Beobachtbarkeit, Automatisierung, Sicherheit und Data Science. Die professionellen Dienstleistungen von Evolutio implementieren und optimieren bewährte Technologien, um den Umsatz zu maximieren, die Markentreue zu stärken und ein erstklassiges digitales Erlebnis zu bieten.

‍

ÜBER EPI-USE LABS (https://www.epiuselabs.com):

EPI-USE Labs bietet Software und Dienstleistungen zur Verbesserung der Leistung, Sicherheit und Verwaltung der SAP®-Systeme seiner Kunden. Die Software, die Mehrwertlösungen und die Managed Services von EPI-USE Labs schaffen bessere, leistungsfähigere und sicherere Systeme für mehr als 1.000 Unternehmen weltweit, die SAP einsetzen.

‍