IT’ers wereldwijd zijn sinds afgelopen weekend in de hoogste staat van paraatheid nadat een kwetsbaarheid ontdekt is in de populaire logsoftware Log4j van Apache. Het lek kan hackers toegang geven tot duizenden overheden, bedrijven, servers en apps.

Log4j wordt gebruikt om logboeken bij te houden in de webapplicaties van talloze kleine en grote organisaties. Omdat de software vaak verwerkt zit in andere software, kan een bedrijf Log4j gebruiken zonder het te weten. Vorige donderdag werd een kwetsbaarheid ontdekt die IT’ers koude rillingen bezorgt. Het lek kreeg de naam CVE-2021-44228 of Log4shell.

“Al die organisaties lopen door deze kwetsbaarheid risico om gehackt te worden”, meldde de Nederlandse cyberwaakhond NCSC afgelopen weekend. Ook zijn Belgische tegenhanger CERT zond een waarschuwing uit. Volgens Microsoft zijn duizenden softwareproducten en toestellen kwetsbaar zonder snelle update.

Noodupdates

De vergelijking met het Microsoft Exchange-lek van eerder dit jaar is niet ver weg. Volgens sommige experts is de Log4j-kwetsbaarheid een nog groter probleem en mogelijk “het lek van het decennium”. Al kan niemand exact inschatten wat de schade kan zijn, omdat Log4j vaak diep verscholen zit in de onderste softwarelagen.

Het goede nieuws is dat sinds afgelopen weekend alle grote softwareleveranciers zich bewust zijn van de enorme schaal van het probleem en updates online hebben gezet om de kwetsbaarheid te neutraliseren.

Cryptomining

Er is haast mee gemoeid, want de overheidstoezichthouders stellen vast dat hackersorganisaties actief scannen naar online systemen die het lek nog niet hebben gedicht. Daardoor is kans op een grootschalige aanval, bijvoorbeeld via gijzelsoftware, vrij groot.

“De kwetsbaarheid maakt het voor aanvallers mogelijk de rechten van webservers op afstand te misbruiken, met potentieel grote gevolgschade”, waarschuwt het NCSC. Hackers kunnen via het lek ook computers overnemen om cryptomunten mee te minen.

(evb, lb)