Die Ausnutzung der Log4Shell-Schwachstellen birgt große Ransomware-Gefahr. Derweil hat eine Diskussion rund um mehr Geld für Open Source und eine "Bill of Materials" für Software begonnen

Ein Leck in der weit verbreiteten Logging-Bibliothek Log4j - es wurde "Log4Shell" genannt - hält IT-Sicherheitsexperten auf Trab. Es handelt sich um eine der schwersten Lücken seit Jahrzehnten. Sie bietet riesiges Schadpotenzial, ist relativ simpel ausnutzbar und hat nicht umsonst die maximale Bewertung von zehn Punkten im standardisierten Einstufungssystem für Software-Schwachstellen (CVSS) erhalten.

Der sprichwörtliche Hut brennt allerdings auch, weil die Behebung alles andere als einfach ist. Theoretisch lassen sich diese und weitere seitdem aufgetauchte Lücken mit einem Update von Log4j beheben. Praktisch gestaltet sich das allerdings kompliziert, da Log4j keine eigenständige, zentral laufende Applikation ist. Es handelt sich um eine Komponente, die in einzelne Programme eingebaut wird. Und jedes dieser Programme muss nun identifiziert und eine sichere Version von Log4j eingepflegt werden.

Das geht verhältnismäßig einfach, wenn man als Unternehmen eine Software selbst entwickelt. Bei Anwendungen von Drittherstellern ist man wiederum darauf angewiesen, dass diese eine Aktualisierung liefern.