{"id":260514,"date":"2021-12-14T01:31:25","date_gmt":"2021-12-14T00:31:25","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=260514"},"modified":"2023-09-16T10:04:25","modified_gmt":"2023-09-16T08:04:25","slug":"log4j-schwachstelle-cve-2021-44228-minecraft-dringend-patchen","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2021\/12\/14\/log4j-schwachstelle-cve-2021-44228-minecraft-dringend-patchen\/","title":{"rendered":"log4j-Schwachstelle CVE-2021-44228: Minecraft dringend patchen"},"content":{"rendered":"

\"Sicherheit[English<\/a>]Nutzer die das zu Microsoft geh\u00f6rende Spiel Minecraft verwenden, m\u00fcssen dessen in JAVA geschriebenen Client dringend update. Der Hintergrund ist, dass die log4j-Schwachstelle CVE-2021-44228 auch die Minecraft-Server \u00fcber die Minecraft-Clients angreifbar macht. Der Entwickler von Minecraft, Mojang, hat dies bereits am Wochenende in einem Blog-Post bekannt gegeben.<\/p>\n

<\/p>\n

Die log4j-Schwachstelle CVE-2021-44228<\/h2>\n

\"\"Ich hatte bereits am 10. Dezember 2021 im Beitrag 0-day CVE-2021-44228 in Java log4j-Bibliothek tangiert zahlreiche Anbieter<\/a> auf das Problem hingewiesen. In der zum Logging benutzen Java Bibliothek log4j gibt es eine kritische Schwachstelle in der JNDI-Lookup-Funktion, \u00fcber die Angreifer remote Code injizieren und ausf\u00fchren lassen k\u00f6nnen. Die JNDI-Lookup-Funktion von log4j erm\u00f6glicht den Abruf von Variablen \u00fcber das JNDI \u2013 Java Naming and Directory Interface. Schreibt ein Angreifer sch\u00e4dlichen Code in Form einer URL in die Protokolldatei, kontaktiert der Verzeichnisdienst JNDI darauf hin den im Protokoll aufgef\u00fchrten LDAP-Server, um von diesem Daten anzufordern. Das kann auch Java-Klassen umfassen, die dann ausgef\u00fchrt werden. Gelingt es einem Angreifer die URL auf einen von ihm kontrollierten Server in der Protokolldatei anzugeben, kann er einen Server \u00fcber das Logging zu kapern (Log4Shell).<\/p>\n

Seit ein Proof of Concept<\/a> (PoC) f\u00fcr die Remote Code Execution-Schwachstelle in log4j am 9. Dezember 2021 ver\u00f6ffentlicht wurde, steht die IT-Welt Kopf. Die US CISA warnt (siehe<\/a>), dass dies die gr\u00f6\u00dfte Sicherheitsl\u00fccke des Jahres sei und hunderte Millionen an Ger\u00e4ten und Programmen bedroht. Darunter geh\u00f6rt auch das Spiel Minecraft mit seinen Servern und den von Benutzern verwendeten JAVA Minecraft Clients.<\/p>\n

Mojang: Minecraft Clients dringend updaten<\/h2>\n

In einem wichtigen Sicherheitshinweise auf minecraft.net<\/a> und auch in nachfolgendem Tweet<\/a> weist der Hersteller Mojang seine Nutzer darauf hin, den Minecraft JAVA-Client aus Sicherheitsgr\u00fcnden dringend zu aktualisieren (ich hatte das Update bereits kurz im Beitrag 0-day CVE-2021-44228 in Java log4j-Bibliothek tangiert zahlreiche Anbieter<\/a> erw\u00e4hnt).<\/p>\n

<\/a><\/p>\n

Im Beitrag von Mojang hei\u00dft es, dass die Sicherheitsl\u00fccke in Log4j viele Dienste – einschlie\u00dflich Minecraft Java Edition – betrifft. Diese Schwachstelle stellt ein potenzielles Risiko dar, dass die Computer der Spieler kompromittiert werden. Obwohl diese Schwachstelle mit einem Patch f\u00fcr alle Versionen des Spielclients behoben wurde, m\u00fcssen Anwender dennoch die folgenden Schritte unternehmen, um das Spiel und die Server zu sch\u00fctzen.<\/p>\n