Update 13/12
Volg het liveblog over Log4j.
Vier vragen over de zero-day in java log-tool Log4j
Er zit een ernstige kwetsbaarheid in de java log-tool Apache Log4j. Deze logtool wordt heel veel gebruikt. De eerste geluiden hierover kwamen donderdagavond online. Binnen 24 uur hebben cybercriminelen al misbruik gemaakt van deze zero-day. Dat maakt de situatie bijzonder ernstig. De kwetsbaarheid is ontdekt door een onderzoeker die gebruikmaakte van Minecraft's bug bounty programma.
Wat is er aan de hand?
Er zit een ernstige kwetsbaarheid in de java log-tool Apache Log4j. Deze logtool wordt heel veel gebruikt. De eerste geluiden over de kwetsbaarheid kwamen donderdagavond online. Binnen 24 uur hebben cybercriminelen al misbruik gemaakt van deze zero-day. Dat maakt de situatie bijzonder ernstig. De kwetsbaarheid is ontdekt door een onderzoeker die gebruik maakte van Minecrafts bug bounty programma.
Welke applicaties zijn kwetsbaar?
Deze log-tool wordt veel gebruikt in op java baseerde applicaties. Java is een de meest gebruikte programmeertalen. Deze tool wordt veel gebruikt in webservers en java gebaseerde applicaties. Denk hierbij aan Elasticsearch, het populaire spel Minecraft, Apache Struts2, en nog veel meer.
Wat merkt de zorgsector hiervan?
Tot nu toe is nog niet duidelijk welke zorgsystemen hierdoor kwetsbaar zijn. Z-CERTS analisten vergelijken Log4j met veelgebruikte ingredienten in de keuken, zoals zout en suiker. Dat vind je overal in terug. Het is dan ook zeer aannemelijk dat Log4j ook in veel zorgsystemen wordt gebruikt. De analisten maken zich zorgen deze ernstige kwetsbaarheid en de eenvoudige manier waarop criminelen hier misbruik van maken.
Steven Baardewijk, security specialist bij Z-CERT:
“Het is lastig over te brengen hoe ernstig deze kwetsbaarheid is. Elke keer als je een website/applicatie of game, zoals Minecraft, bezoekt komt informatie over jouw bezoek in de logging terecht. Criminelen passen deze ‘bezoekersinformatie’ aan om de kwetsbaarheid te misbruiken, heel praktisch: in Minecraft kon dit misbruikt worden door met anderen te chatten! Ze zetten de logging informatie naar hun hand door een commando toe te voegen, de kwetsbare website vraagt dan vervolgens aan de crimineel om instructies, zoals het installeren van malware. Een simpel website bezoek kan zo grote gevolgen hebben. We zien dat er criminelen al hard op zoek zijn naar kwetsbare systemen die gebruikmaken van Log4j. Ze zijn hier ookal succesvol in gebleken want het eerste misbruik is al waargenomen nog geen 24 uur na de bekendmaking van de kwetsbaarheid. Het is echt zaak om dit zo snel als mogelijk op te pakken.”
Wat moeten zorginstellingen doen?
Z-CERT adviseert haar deelnemers om zo snel als mogelijk te onderzoeken waar Log4j allemaal gebruikt wordt in de organisatie en deze applicaties te patchen. Z-CERT heeft een advies uitgestuurd naar haar deelnemers en houdt de situatie in de gaten.