Editorial: Einsame Verantwortung

Tausende von Servern - auf vielen davon war (oder ist noch) der Log4j-Bug zu finden
Foto: Strato Letzte Woche war es mal wieder so weit: "Alarm­stufe rot" für Millionen von Server­betrei­bern, weil in einer von zahl­rei­chen Program­mie­rern verwen­deten Hilfs­soft­ware ein schwerer Bug steckte: Log4j dient dazu, Infor­mationen über Fehler und andere Ereig­nisse zu proto­kol­lieren. Fehler können dabei sowohl lokal als auch auf einem entfernten Server gesam­melt werden. Und die proto­kol­lierte Fehler­mel­dung selber kann Tags enthalten, die von Log4j auto­matisch durch einen Wert ersetzt werden. Das ist prak­tisch, um Programm­ver­sionen, Zeit­stempel und ähnliche Infor­mationen zu sammeln. Es ging aber bei Log4j so weit, dass so ein Tag Java-Code von einem externen Server nach­laden und ausführen konnte. Das Ergebnis der Ausfüh­rung wurde dann geloggt.

Nun ist Logging norma­ler­weise ein interner Dienst, der sich nicht direkt von extern errei­chen lässt. Aber viele Anwen­dungen loggen auch Fehler, die durch Nutzer­ein­gaben entstehen. Teil dieser Loggings sind dann meist auch die Nutzer­ein­gaben, die zum Fehler geführt haben. Wird dann die Nutzer­ein­gabe nicht so gesi­chert (die Infor­matiker spre­chen von "escaped"), dass Log4j nicht mehr seine eigenen Tags erkennt, dann ist der Exploit perfekt. Die Einfach­heit von Log4j macht auch dessen Miss­brauch so einfach.

Log4j ist nur eins von 350 Projekten

Tausende von Servern - auf vielen davon war (oder ist noch) der Log4j-Bug zu finden
Foto: Strato Log4j ist eines der vielen Tools, mit denen die Apache Founda­tion das Leben von Program­mie­rern welt­weit einfa­cher macht. Ihr berühm­testes und wich­tigstes Produkt ist der Apache Webserver, der die Inhalte von Aber­mil­lionen Websites welt­weit auslie­fert - auch die von teltarif.de. Zwar sind die Zeiten vorbei, in denen der Apache Server 80 oder 90 Prozent Markt­anteil hatte: Mit nginx gibt es einen starken Konkur­renten und immer mehr Websites werden über einge­bet­tete Webserver direkt aus einer Appli­kation heraus ausge­lie­fert. Dennoch hat die Apache Founda­tion durch frei­wil­lige Spenden von Apache-Nutzern so viel Geld einge­nommen, dass sie inzwi­schen über 350 Projekte verwaltet. Eines davon ist auch Log4j.

Auch, wenn die Apache Founda­tion in der Free­ware-Welt vergleichs­weise gut finan­ziert ist - üppig ist ihr Budget im Vergleich zu Micro­soft, Apple und Google defi­nitiv nicht. Und so passiert es auch ihr, dass ihr Fehler durch­rut­schen oder sie den sicheren Gebrauch ihrer Produkte nicht ausrei­chend genau doku­men­tiert. Denn klei­nere Projekte wie Log4j werden am Ende von nur wenigen Program­mie­rern verwaltet. Die vielen Millionen Nutzer machen sich hingegen nicht die Mühe, nach Fehlern oder Exploits zu suchen. Sie gehen davon aus, dass die über­nom­menen Anwen­dungen reibungslos funk­tio­nieren.

Ande­rer­seits: Im Vergleich zu den vielen "Remote Code Execu­tions", die immer wieder in Windows, iOS und Android auftau­chen, steht Apache wirk­lich blen­dend da. Der Unter­schied ist nur, dass Server-Betreiber dieses Mal nicht das Betriebs­system, sondern die Anwen­dungen upgraden müssen, was vom Prozess her meist kompli­zierter ist. Zudem lassen sich von einem kompro­mit­tierten Server oft deut­lich mehr Daten stehlen als von einem gehackten privaten Windows-PC. Steu­ererklä­rungen und Kündi­gungs­schreiben sind für die Gauner im Internet dann halt doch weniger inter­essant als Nutzer­daten­banken mit Millionen von Kredit­kar­ten­infor­mationen.