Betroffene Einrichtungen
Bereich
Ajax.NET Professional (AjaxPro) weist eine kritische Schwachstelle in der Deserialisierung nicht vertrauenswürdiger Daten auf, die es einem Angreifer ermöglicht, beliebige .NET-Klassen zu instanziieren und dadurch Remote Code Execution auf dem betroffenen Server zu erlangen. Da das Produkt als End-of-Life bzw. End-of-Service eingestuft ist, steht kein offizieller Patch bereit, was das Risiko dauerhaft erhöht. Sofern AjaxPro in klinischen Umgebungen als Webtechnologie innerhalb von KIS-, RIS- oder Portalanwendungen betrieben wird, könnte ein erfolgreicher Angriff zur vollständigen Kompromittierung des Servers und damit zum Verlust oder zur Manipulation von Patientendaten führen. Einrichtungen, die AjaxPro noch einsetzen, sollten den Betrieb umgehend einstellen und auf unterstützte Technologien migrieren, da keine Sicherheitskorrekturen mehr zu erwarten sind.
1 Ajax.NET Professional (AjaxPro) ist als End-of-Life eingestuft: Einsatz sofort inventarisieren und alle betroffenen Webanwendungen identifizieren – da kein Patch verfügbar ist, muss eine Migration auf eine unterstützte Alternative (z. B. moderne ASP.NET-Frameworks) eingeleitet werden.
2. Bis zur vollständigen Migration: Netzwerkzugriff auf betroffene AjaxPro-Endpunkte durch Firewall-Regeln und WAF-Konfiguration auf vertrauenswürdige Quellen beschränken, um die Angriffsfläche für die Deserialisierungslücke zu minimieren.
3. Webanwendungen und Server, auf denen AjaxPro betrieben wird, auf Anzeichen einer Kompromittierung untersuchen (Loganalyse, IDS-Alarme auf ungewöhnliche .NET-Deserialisierungsaktivitäten) und ggf. Incident-Response einleiten.
4. Softwarebestand im Asset-Management aktualisieren und alle Systeme mit AjaxPro-Abhängigkeiten für die Risikoregister kennzeichnen; verantwortliche Fachabteilungen (z. B. KIS/RIS-Betreiber) über die Dringlichkeit der Ablösung informieren.
5. Für KRITIS-Einrichtungen: Prüfen, ob ein aktiver Ausnutzungsversuch vorliegt, und bei Bestätigung Meldung an BSI (DE), BACS (CH) bzw. CERT.at (AT) vorbereiten und einreichen.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja