NCSC waarschuwt voor gevaarlijk beveiligingslek

Een ernstige kwetsbaarheid in wereldwijd gebruikte software leidt tot grote ongerustheid. Technisch experts vrezen voor een golf van aanvallen met gijzelsoftware. Het Nationaal Cyber Security Centrum (NCSC), onderdeel van het ministerie van Justitie en Veiligheid, waarschuwt dat de computersystemen van bijna alle bedrijven en instellingen geraakt kunnen worden. Het lek maakt het voor hackers kinderlijk eenvoudig om de systemen binnen te dringen.

De ernstige kwetsbaarheid is gevonden in Apache Log4j. Dit is software die veel gebruikt wordt in webapplicaties en allerlei andere systemen. Het NCSC waarschuwt voor potentieel grote schade en adviseert om de door Apache beschikbaar gestelde updates zo snel mogelijk te installeren. Ze zien actief scangedrag in Nederland en verwachten op korte termijn misbruik van de kwetsbaarheid die inmiddels de naam Log4shell heeft gekregen.

Lijst met kwetsbare applicaties

Het NCSC heeft een lijst online geplaatst op Github met applicaties die kwetsbaar zijn als gevolg van de ernstige kwetsbaarheid in Log4j. Deze lijst is nog lang niet volledig en zal de komende dagen aangevuld worden met informatie over applicaties die nog niet op de lijst staan. Het NCSC heeft partners, organisaties en bedrijven dringend gevraagd om aanvullende informatie te delen op Github. Dit is een makkelijke manier om dit soort informatie te ontsluiten.

Potentieel grote gevolgschade

De kwetsbaarheid maakt het voor aanvallers mogelijk de rechten van webservers op afstand te misbruiken, met potentieel grote gevolgschade. Het NCSC heeft voor deze kwetsbaarheid een HIGH/HIGH-beveiligingsadvies uitgebracht: de kans op misbruik op korte termijn en de potentiële schade zijn groot.

Apache Log4j is zeer breed in gebruik bij grote en kleine organisaties in binnen- en buitenland. De manier waarop deze kwetsbaarheid misbruikt kan worden is inmiddels publiekelijk bekend. Gezien de vele aandacht voor deze kwetsbaarheid verwacht het NCSC dat de manieren voor misbruik de komende tijd worden doorontwikkeld. Het is daarom extra van belang om de updates snel te installeren.

Check bij je IT-partner

Het NCSC monitort de situatie nauwgezet; houd de website in de gaten voor nadere informatie en updates. Ben je niet zeker of er binnen jouw organisatie gebruik wordt gemaakt van Apache Log4j, vraag dit dan na bij je softwareleverancier / IT-partner.

Bron: NCSC