Dezember 2021
Autor:in des Beitrags
Benedikt
Head of Access and Security
Veröffentlicht am
13.12.2021 von Benedikt
Jetzt Blogbeitrag teilen
Xing LinkedIn Facebook Twitter
Sicherheitslücke

Sicherheitsrisiko Log4J minimieren

Die weltweite Sicherheitslücke in der Java-Logging-Library Log4J macht gerade Schlagzeilen. Und das zu Recht, denn erste Angriffe laufen bereits. Die kritische Zero-Day-Sicherheitslücke wird als „log4Shell“ bezeichnet und betrifft Unternehmen weltweit – darunter auch bekannte Namen wie Apple, Twitter oder Amazon. Wir zeigen Ihnen, wie Sie das Sicherheitsrisiko Log4J minimieren können, schnell und einfach.

WARUM DIE SICHERHEITSLÜCKE SO KRITISCH IST

Aufgrund der weiten Verbreitung der Bibliothek ist es nur schwer einzuschätzen, um wie viele Produkte es sich tatsächlich handelt. Es ist jedoch sehr wahrscheinlich, dass die Mehrheit aller Java- und Kotlin-Projekte weltweit betroffen sind. Dazu kommt, dass die Lücke sehr leicht angreifbar ist. Für einen erfolgreichen Exploit braucht es nur einen Endpunkt mit einem beliebigen Protokoll der log4j einsetzt oder der Daten an eine Komponente sendet, welche Log4j einsetzt.

Das ermöglicht es den Angreifern einen Exploit-String zu senden und eine Protokollanweisung, die die Zeichenkette aus dieser Anfrage protokolliert. Diese Protokollanweisung verweist auf eine Serverinstanz mit weiterem Schadcode. Dabei wird offenbar nicht geprüft, ob es sich um einen eigenen oder fremdgesteuerten Server handelt.

MIT CITRIX ADC DAS SICHERHEITSRISIKO LOG4J MINIMIEREN

Die gute Nachricht ist, es gibt die Möglichkeit bekannte Angriffe zu blockieren und damit das Risiko, dass die Sicherheitslücke ausgenutzt werden kann, zu reduzieren. Mit Hilfe von Citrix ADC bieten sich zwei Wege an. Wir zeigen Ihnen, wie Sie sich gegen das Sicherheitsrisiko schützen können. Citrix ADC ist laut Hersteller selbst nicht von der Lücke betroffen.

Citrix ADC bietet grundsätzlich zwei Varianten um Angriffe mit dem Log4j2 Exploit (CVE-2021-44228) gegen betroffene Anwendungen abzuschwächen.

 


Variante 1: Responder Policy

Die Ausnutzung der Schwachstelle kann über eine Responder Policy abgefangen und gedropped werden. Diese Lösung ist in allen Lizenzstufen möglich und wird offiziell seit dem 14.12.2021 vom Hersteller empfohlen.

Wie genau funktioniert das?

Man muss zuerst folgende CLI-Commands für die Responder-Policy über SSH auf dem Citrix ADC einspielen:

# Citrix CVE 2021 44228 Mitigation Policy
#
# add pattern set
add policy patset patset_cve_2021_44228
bind policy patset patset_cve_2021_44228 ldap -index 1
bind policy patset patset_cve_2021_44228 http -index 2
bind policy patset patset_cve_2021_44228 https -index 3
bind policy patset patset_cve_2021_44228 ldaps -index 4
bind policy patset patset_cve_2021_44228 rmi -index 5
bind policy patset patset_cve_2021_44228 dns -index 6
#
# add responder policy
add responder policy mitigate_cve_2021_44228 "HTTP.REQ.FULL_HEADER.SET_TEXT_MODE(URLENCODED).DECODE_USING_TEXT_MODE.AFTER_STR(\"${\").BEFORE_STR(\"}\").CONTAINS(\"${\") || HTTP.REQ.FULL_HEADER.SET_TEXT_MODE(URLENCODED).DECODE_USING_TEXT_MODE.SET_TEXT_MODE(IGNORECASE).STRIP_CHARS(\"${: }/+\").AFTER_STR(\"jndi\").CONTAINS_ANY(\"patset_cve_2021_44228\") || HTTP.REQ.BODY(8192).SET_TEXT_MODE(URLENCODED).DECODE_USING_TEXT_MODE.AFTER_STR(\"${\").BEFORE_STR(\"}\").CONTAINS(\"${\") || HTTP.REQ.BODY(8192).SET_TEXT_MODE(URLENCODED).DECODE_USING_TEXT_MODE. SET_TEXT_MODE(IGNORECASE).STRIP_CHARS(\"${: }/+\").AFTER_STR(\"jndi\").CONTAINS_ANY(\"patset_cve_2021_44228\")" DROP
#
# bind responder policy global
bind responder global mitigate_cve_2021_44228 10 END -type REQ_OVERRIDE
#
# save config
save c
#

Die Policy wird global gebunden und schützt daher alle über den ADC bereitgestellten Services mit HTTP und SSL Offloading.

Über den Hit-Counter der Responder Policy können mögliche unterbundene Zugriffe eingesehen werden:

WICHTIG: Die Policy funktioniert nur bei Services, bei denen der ADC den Inhalt in Klartext sehen kann (u.a. kein Support für TCP, SSL-Bridge, UDP, etc.)

ACHTUNG: Die Policy kann zu erhöhter LAST auf dem ADC führen, daher empfiehlt es sich das Performance Monitoring verstärkt im Auge zu behalten.

 


 

Variante 2: Citrix ADC WAF Signaturen für CVE-2021-44228

Citrix hat Web Application Firewall (WAF) Signaturen zur Mitigation des CVEs veröffentlicht.

Mit dem Einsatz der aktuellen Signaturen (Version 73) können die Angriffe gleichwertig blockiert werden. Im Unterschied zu den Responder Policies ziehen die WAF Signaturen allerdings nur auf Services mit aktiver WAF Konfiguration und es ist eine Citrix ADC Premium oder Platinum Lizenz notwendig. Vorteil dieser Lösung: Man kann davon ausgehen, dass es regelmäßig angepasste Signaturen geben wird.

 


 

Sie möchteN mehr infos?

Wir sind für SIE da.

Wenn auch Sie von der Sicherheitslücke Log4J betroffen sind, melden Sie sich gerne direkt bei uns. Wir helfen Ihnen schnell und zielorientiert das Risiko zu minimieren.

BENEDIKT HENGHUBER | Head of Access and Security

+49 89 71040920

benedikt@provectus.de

Zum Kontaktformular

Das könnte dich auch interessieren

Whitepaper

Whitepaper – KI-ready

In unserem Whitepaper erhalten Sie einen Überblick über die Herausforderungen, welche die Künstlicher Intelligenz mit sich bringt.
Weiterlesen
Blogbeitrag

Bereitstellung Elastic Stack und Anbindung der NetScaler Syslogs

In diesem Teil steht der Elastic Stack auf dem Plan – Kibana, Elasticsearch und Logstash stehen in den Startlöchern.
Weiterlesen
Blogbeitrag

Virtual Workplace Evolution

Wir sind dabei und freuen uns auf den spannenden Austausch zur Transformation von IT Workplaces.
Weiterlesen
Blogbeitrag

KI-Nutzungsrichtlinie: So nutzen Sie KI sicher und compliant

Erfahren Sie, wie Sie eine KI-Nutzungsrichtlinie erstellen können, und Ihre Daten und die Daten Ihrer Kunden zu schützen.
Weiterlesen
Blogbeitrag

Voraussetzungen für den effizienten Einsatz von KI im Unternehmen

Erhalten Sie einen Überblick über die wichtigsten Voraussetzungen, die Sie erfüllen müssen, um KI in Ihrem Unternehmen einzuführen.
Weiterlesen
Blogbeitrag

New Teams VDI

Mit der neuen Teams-Version hat sich nicht nur das Design geändert, sondern auch die Installationsroutine. Wir klären auf!
Weiterlesen
Blogbeitrag

KI statt Excel

Entdecken Sie die Vorteile von cloud-basierten Datenbanken und KI-gestützten Datenflüssen für die Automatisierung Ihrer Geschäftsprozesse.
Weiterlesen
Blogbeitrag

KI im Unternehmen einführen: Muss es denn gleich Microsoft 365 Copilot sein?

In diesem Beitrag erhalten Sie von uns einige Orientierungshilfen, damit Sie eine KI-Strategie für Ihr Unternehmen entwickeln können.
Weiterlesen
Blogbeitrag

Verfahren für Single Sign-on

Julian Sperling erläutert alle Kernkonzepte des SSO mit Entra ID und zeigt, wann man sie benötigt.
Weiterlesen
Blogbeitrag

NetScaler Log und Metrik Analytics Server

Wir erklären den Aufbau eines NetScaler Log und Metrik Analytics Server inklusive Monitoring und Alarmierung.
Weiterlesen
Jetzt Blogbeitrag teilen
Xing LinkedIn Facebook Twitter