Kwetsbaarheid Apache Log4J 2: Wat kunt u zelf doen?

Eind vorige week is er een kritieke kwetsbaarheid in Apache Log4j 2 bekend gemaakt. Deze Java-logtool wordt door veel organisaties wereldwijd gebruikt. Hierdoor is de impact van de kwetsbaarheid is door het NSCS (Nationaal Cyber Security Centrum) beoordeeld op een schaal van 1 tot 10 met een 10, dit betekend een hoge kans op grote schade.

De kwetsbaarheid wordt inmiddels actief misbruikt, het is daarom van extra belang om updates te installeren of maatregelen te nemen.

Lees hieronder meer over Apache Log4j-2, de kwetsbaarheid en de te nemen stappen:

Wat is een Log4j logger?

Log4j is een veel gebruikte logging-tool die vooral door software ontwikkelaars wordt gebruikt om vast te leggen of er problemen in een applicatie voorkomen.

Een logger legt acties van een applicatie vast in een bestand op een systeem. Zo kan gecontroleerd worden wat de applicatie doet en of het doet wat het zou moeten doen. De logs worden gebruikt bij het troubleshooten bij problemen. Log4j library is een logging-applicatie die veel gebruikt wordt in Java applicaties. Java is een programmeertaal dat wereldwijd gebruikt wordt op o.a. webservers, pinautomaten, mobiele telefoons etc. Applicaties waarbij de log4j-2 tool gebruikt wordt en die direct vanaf het internet te bereiken zijn, zijn kwetsbaar voor het misbruik.

Het risico op misbruik

Door de kwetsbaarheid is het voor aanvallers mogelijk om door middel van het uitvoeren van een code controle te krijgen over de server waarop de Log4j-2 draait. Zo kan een aanvaller het systeem misleiden en op afstand instructies geven om externe waarden op te halen. In plaats van dat de logger bijvoorbeeld de waarden datum- en tijd uit de klok van de server haalt, kan een aanvaller een waarde ophalen vanaf een externe locatie, vanaf bijvoorbeeld: "http://kwaadaardigesoftware.ru/download-mijn-hack-bestand.exe".

Het systeem zal deze instructies volgen waardoor het de kwaadaardige software zal downloaden en uitvoeren op de server waarop de applicatie staat. Een kwaadwillende kan zo kwaadaardige software, zoals ransomware of virussen installeren op de server of toegang krijgen tot gevoelige data.

Wanneer doet de kwetsbaarheid zich voor?

Bij een server die direct te benaderen is vanaf het internet.
Een server die een Java applicatie draait en die toegankelijk is vanaf het internet.
Wanneer de Log4J-v2 module is ingeschakeld binnen de applicatie.

Wat kunt u zelf doen?

Het is belangrijk om te controleren en inventariseren of uw applicaties of systemen log4j-2 gebruiken. Er zijn inmiddels verschillende scripts en scan tools beschikbaar, voor Linux en Windows. Deze kwetsbaarheid scanners hebben updates of plugins uitgebracht om te controleren of systemen kwetsbaar zijn. Let wel op: Deze scans bieden geen 100% garantie dat u geen kwetsbare systemen hebt.
Het dringend advies is om software te inventariseren en contact op te nemen met uw softwareleveranciers. De leverancier van uw software kan controleren of de software kwetsbaar is. Is er een patch beschikbaar dan is het advies om deze zo spoedig mogelijk uit te voeren.

Ter ondersteuning: Het NCSC heeft een overzicht samengesteld met applicaties die gebruik maken van Apache Log4j https://github.com/NCSC-NL/log4shell/tree/main/software. Staat uw applicatie niet vermeld op de lijst? Schakel dan met uw software leverancier om te controleren of er gebruik wordt gemaakt van Apache log4j-2.
Controleer de firewalls op onnodig openstaande poorten en zet deze dicht. Zodat de kwetsbaarheid niet actief aangeroepen kan worden van buitenaf.
Ontwikkelt u zelf software op basis van Java? Ga dan na of u de Log4J-2 library gebruikt, en indien dit het geval is, installeer zo spoedig mogelijk de update voor uw softwarepakket.

Waar vindt u meer informatie?

Digital Trust Center
https://www.digitaltrustcenter.nl/nieuws/kritieke-kwetsbaarheid-in-apache-log4j-2

Nationaal Cyber Security Centrum (NCSC)
https://www.ncsc.nl/actueel/nieuws/2021/december/10/ernstige-kwetsbaarheid-in-apache-log4j
https://www.ncsc.nl/actueel/nieuws/2021/december/12/kwetsbare-log4j-applicaties-en-te-nemen-stappen
https://www.ncsc.nl/actueel/nieuws/2021/december/13/log4j-kwetsbaarheid-bereid-u-voor-op-misbruik