Dezember 2021
Autor:in des Beitrags
Benedikt
Head of Access and Security
Veröffentlicht am
13.12.2021 von Benedikt
Jetzt Blogbeitrag teilen
Xing LinkedIn Facebook Twitter
Sicherheitslücke

Sicherheitsrisiko Log4J minimieren

Die weltweite Sicherheitslücke in der Java-Logging-Library Log4J macht gerade Schlagzeilen. Und das zu Recht, denn erste Angriffe laufen bereits. Die kritische Zero-Day-Sicherheitslücke wird als „log4Shell“ bezeichnet und betrifft Unternehmen weltweit – darunter auch bekannte Namen wie Apple, Twitter oder Amazon. Wir zeigen Ihnen, wie Sie das Sicherheitsrisiko Log4J minimieren können, schnell und einfach.

WARUM DIE SICHERHEITSLÜCKE SO KRITISCH IST

Aufgrund der weiten Verbreitung der Bibliothek ist es nur schwer einzuschätzen, um wie viele Produkte es sich tatsächlich handelt. Es ist jedoch sehr wahrscheinlich, dass die Mehrheit aller Java- und Kotlin-Projekte weltweit betroffen sind. Dazu kommt, dass die Lücke sehr leicht angreifbar ist. Für einen erfolgreichen Exploit braucht es nur einen Endpunkt mit einem beliebigen Protokoll der log4j einsetzt oder der Daten an eine Komponente sendet, welche Log4j einsetzt.

Das ermöglicht es den Angreifern einen Exploit-String zu senden und eine Protokollanweisung, die die Zeichenkette aus dieser Anfrage protokolliert. Diese Protokollanweisung verweist auf eine Serverinstanz mit weiterem Schadcode. Dabei wird offenbar nicht geprüft, ob es sich um einen eigenen oder fremdgesteuerten Server handelt.

MIT CITRIX ADC DAS SICHERHEITSRISIKO LOG4J MINIMIEREN

Die gute Nachricht ist, es gibt die Möglichkeit bekannte Angriffe zu blockieren und damit das Risiko, dass die Sicherheitslücke ausgenutzt werden kann, zu reduzieren. Mit Hilfe von Citrix ADC bieten sich zwei Wege an. Wir zeigen Ihnen, wie Sie sich gegen das Sicherheitsrisiko schützen können. Citrix ADC ist laut Hersteller selbst nicht von der Lücke betroffen.

Citrix ADC bietet grundsätzlich zwei Varianten um Angriffe mit dem Log4j2 Exploit (CVE-2021-44228) gegen betroffene Anwendungen abzuschwächen.

 


Variante 1: Responder Policy

Die Ausnutzung der Schwachstelle kann über eine Responder Policy abgefangen und gedropped werden. Diese Lösung ist in allen Lizenzstufen möglich und wird offiziell seit dem 14.12.2021 vom Hersteller empfohlen.

Wie genau funktioniert das?

Man muss zuerst folgende CLI-Commands für die Responder-Policy über SSH auf dem Citrix ADC einspielen:

# Citrix CVE 2021 44228 Mitigation Policy
#
# add pattern set
add policy patset patset_cve_2021_44228
bind policy patset patset_cve_2021_44228 ldap -index 1
bind policy patset patset_cve_2021_44228 http -index 2
bind policy patset patset_cve_2021_44228 https -index 3
bind policy patset patset_cve_2021_44228 ldaps -index 4
bind policy patset patset_cve_2021_44228 rmi -index 5
bind policy patset patset_cve_2021_44228 dns -index 6
#
# add responder policy
add responder policy mitigate_cve_2021_44228 "HTTP.REQ.FULL_HEADER.SET_TEXT_MODE(URLENCODED).DECODE_USING_TEXT_MODE.AFTER_STR(\"${\").BEFORE_STR(\"}\").CONTAINS(\"${\") || HTTP.REQ.FULL_HEADER.SET_TEXT_MODE(URLENCODED).DECODE_USING_TEXT_MODE.SET_TEXT_MODE(IGNORECASE).STRIP_CHARS(\"${: }/+\").AFTER_STR(\"jndi\").CONTAINS_ANY(\"patset_cve_2021_44228\") || HTTP.REQ.BODY(8192).SET_TEXT_MODE(URLENCODED).DECODE_USING_TEXT_MODE.AFTER_STR(\"${\").BEFORE_STR(\"}\").CONTAINS(\"${\") || HTTP.REQ.BODY(8192).SET_TEXT_MODE(URLENCODED).DECODE_USING_TEXT_MODE. SET_TEXT_MODE(IGNORECASE).STRIP_CHARS(\"${: }/+\").AFTER_STR(\"jndi\").CONTAINS_ANY(\"patset_cve_2021_44228\")" DROP
#
# bind responder policy global
bind responder global mitigate_cve_2021_44228 10 END -type REQ_OVERRIDE
#
# save config
save c
#

Die Policy wird global gebunden und schützt daher alle über den ADC bereitgestellten Services mit HTTP und SSL Offloading.

Über den Hit-Counter der Responder Policy können mögliche unterbundene Zugriffe eingesehen werden:

WICHTIG: Die Policy funktioniert nur bei Services, bei denen der ADC den Inhalt in Klartext sehen kann (u.a. kein Support für TCP, SSL-Bridge, UDP, etc.)

ACHTUNG: Die Policy kann zu erhöhter LAST auf dem ADC führen, daher empfiehlt es sich das Performance Monitoring verstärkt im Auge zu behalten.

 


 

Variante 2: Citrix ADC WAF Signaturen für CVE-2021-44228

Citrix hat Web Application Firewall (WAF) Signaturen zur Mitigation des CVEs veröffentlicht.

Mit dem Einsatz der aktuellen Signaturen (Version 73) können die Angriffe gleichwertig blockiert werden. Im Unterschied zu den Responder Policies ziehen die WAF Signaturen allerdings nur auf Services mit aktiver WAF Konfiguration und es ist eine Citrix ADC Premium oder Platinum Lizenz notwendig. Vorteil dieser Lösung: Man kann davon ausgehen, dass es regelmäßig angepasste Signaturen geben wird.

 


 

Sie möchteN mehr infos?

Wir sind für SIE da.

Wenn auch Sie von der Sicherheitslücke Log4J betroffen sind, melden Sie sich gerne direkt bei uns. Wir helfen Ihnen schnell und zielorientiert das Risiko zu minimieren.

BENEDIKT HENGHUBER | Head of Access and Security

+49 89 71040920

benedikt@provectus.de

Zum Kontaktformular

Das könnte dich auch interessieren

Blogbeitrag

Passkeys: Die Schlüssel zu einer sichereren und passwortlosen Zukunft

Die Frequenz von Phishing-Attacken steigt immer weiter. Wie sieht also die Authentifizierung der Zukunft aus?
Weiterlesen
Blogbeitrag

Entra Private Access – Zero Trust für den hybriden Arbeitsplatz?

Mit Entra Private Access entwickelt Microsoft derzeit die wohl weitsichtigste Lösung für einem Hybriden Arbeitsplatz.
Weiterlesen
Blogbeitrag

Microsoft Copilot

Microsoft läutet mit dem Copiloten eine neue Ära der KI ein. Der Copilot ist mit dem neusten 23H2-Feature-Update für Windows 11 verfügbar und beinhaltet mehr als 150 neue Funktionen.
Weiterlesen
Whitepaper

Lizenzänderungen bei Citrix – Was Sie jetzt wissen müssen

In unserem kostenfreien Whitepaper bringen wir Licht ins Dunkle und erklären Ihnen, was Sie über die aktuelle Situation bei Citrix und die damit einhergehenden Änderungen wissen müssen.
Weiterlesen
Blogbeitrag

Datenschutzkonformer Einsatz von Microsoft 365 bei Sozialdatenträgern

Wir erklären, was Sie beachten sollten, wenn Sie Microsoft 365 als Sozialdatenträger DSGVO-konform einsetzen möchten.
Weiterlesen
Blogbeitrag

Verlängerter Support für Windows Server 2012/R2

Der Support für Windows Server 2012/R2 läuft aus, was bedeutet, dass Microsoft keine Sicherheitsupdates mehr bereitstellt.
Weiterlesen
Blogbeitrag

Verified Credentials

In diesem Beitrag geht es um die Konfiguration der Verified Credentials und die dafür benötigten Azure-Komponenten.
Weiterlesen
Blogbeitrag

Neuer Angemessenheits-beschluss für den Datenverkehr EU-USA

Die EU-Kommission hat einen neuen Angemessenheitsbeschluss für den transatlantischen Datenschutzrahmen EU-USA angenommen,
Weiterlesen
Blogbeitrag

How to: Zuweisung des Citrix Renewal Partner

Wir erklären Ihnen, wie Sie Ihren Renewal Partner bzw. Solution Advisor in Citrix „My Account“ hinzufügen oder ändern.
Weiterlesen
Blogbeitrag

Citrix NetScaler ADC und Gateway – Kritische Schwachstellen

Citrix warnt seine Kunden vor den kritischen Sicherheitslücken. Administratoren sollten deshalb ihr Security Bulletin überprüfen.
Weiterlesen
Jetzt Blogbeitrag teilen
Xing LinkedIn Facebook Twitter