Betroffene Einrichtungen
Bereich
Das Open-Source-Framework Ray-Project Ray weist eine Code-Injection-Schwachstelle auf, die es einem Angreifer ermöglicht, über einen manipulierten Browser-Angriff (Firefox, Safari) beliebigen Code auf dem betroffenen System auszuführen. Der Angriffsvektor setzt voraus, dass Entwicklerinnen und Entwickler Ray als Werkzeug einsetzen und dabei über einen verwundbaren Browser mit dem System interagieren. Im Gesundheitsbereich wird Ray zunehmend in KI- und Machine-Learning-Projekten genutzt, etwa für diagnostische Analysen, Patientendatenauswertungen oder Forschungsinfrastrukturen – sofern solche Entwicklungsumgebungen in Kliniknetzen betrieben werden, besteht ein erhöhtes Risiko für unbefugten Datenzugriff oder die Kompromittierung angebundener Systeme. Angesichts der Einstufung in der CISA KEV-Liste ist umgehend eine Risikobewertung und Härtung aller betroffenen Installationen vorzunehmen.
1 Ray-Framework sofort auf die aktuell verfügbare sichere Version aktualisieren (Hersteller-Advisory prüfen) und bis dahin den Einsatz in exponierten Entwicklungsumgebungen einschränken oder isolieren.
2. Zugriff auf Ray-Dienste (insbesondere Dashboard und API-Endpunkte) durch Firewall-Regeln auf interne, autorisierte Systeme beschränken und externen Zugang vollständig sperren.
3. Bestandsaufnahme durchführen: Alle Systeme und Entwicklungsumgebungen im Klinikumfeld identifizieren, auf denen Ray betrieben wird – einschließlich Data-Science- und KI-Projekte.
4. Browser-Zugriff (Firefox, Safari) auf Ray-Dienste aus dem Klinknetz durch Content-Security-Policies und Proxy-Filterung unterbinden, um den beschriebenen browserbasierten Angriffsvektor zu blockieren.
5. Vorfall- und Schwachstellenmeldung gemäß internem ISMS-Prozess dokumentieren und bei aktivem Ausnutzen als KRITIS-Einrichtung BSI-Meldepflicht prüfen.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja