Laravel Livewire: Kritische Code-Injection erlaubt Remote-Codeausführung

In Laravel Livewire v3 bis einschließlich Version 3.6.3 ermöglicht eine Schwachstelle im Hydration-Mechanismus für Komponenten-Eigenschaften nicht authentifizierten Angreifern die Ausführung beliebigen Codes auf dem Server (Remote Code Execution), ohne dass eine Benutzerinteraktion erforderlich ist. Voraussetzung ist lediglich, dass eine Livewire-Komponente in einer bestimmten Konfiguration eingebunden ist – ein Angreifer benötigt weder Zugangsdaten noch weitere Privilegien. Laravel Livewire wird in modernen PHP-basierten Webanwendungen eingesetzt und kann daher in Kliniken in Patientenportalen, internen Verwaltungssystemen oder klinischen Informationssystemen Verwendung finden; sofern solche Anwendungen im Gesundheitsumfeld betrieben werden, könnte eine erfolgreiche Ausnutzung den Zugriff auf sensible Patientendaten oder kritische Systeme ermöglichen. Betroffene Einrichtungen sollten umgehend prüfen, ob Livewire v3 im Einsatz ist, und das Update auf Version 3.6.4 oder höher unverzüglich einleiten, da laut Hersteller keine Workarounds verfügbar sind.

1 Livewire auf Version 3.6.4 oder höher aktualisieren (via Composer: 'composer update livewire/livewire') – dies ist der einzige verfügbare Fix, da der Hersteller keine Workarounds kennt.