Betroffene Einrichtungen
Bereich
In Collabora Online – Built-in CODE Server besteht eine OS-Command-Injection-Schwachstelle, die speziell dann ausnutzbar ist, wenn der CODE-Dienst nicht aktiv läuft. Ein entfernter Angreifer kann über diese Schwachstelle beliebige Betriebssystembefehle einschleusen und so Remote Code Execution (RCE) auf dem betroffenen Host erzielen. Collabora Online wird in Gesundheitseinrichtungen häufig als kollaborative Office-Lösung auf Basis von NextCloud eingesetzt, etwa zur gemeinsamen Bearbeitung von Dokumenten, Befundberichten oder administrativen Unterlagen – sofern NextCloud dort als Dokumentenmanagement- oder Filesharing-Plattform betrieben wird. Im Klinikumfeld bedeutet eine erfolgreiche RCE potenziell den Zugriff auf sensible Patientendaten, die auf dem NextCloud-Server gespeichert sind, sowie die Möglichkeit zur lateralen Bewegung im Netzwerk. Angesichts der aktiven Aufnahme in den CISA-KEV-Katalog ist eine sofortige Aktualisierung bzw. Mitigation dringend erforderlich.
1 Collabora Online – Built-in CODE Server sofort auf die vom Hersteller bereitgestellte gepatchte Version aktualisieren (Collabora-Sicherheitsadvisory prüfen und verfügbares Update unverzüglich einspielen); sofern kein Patch verfügbar, den CODE-Dienst deaktivieren oder den Zugang zur NextCloud-Instanz auf vertrauenswürdige Netzsegmente beschränken.
2. Prüfen, ob der CODE-Dienst in der eigenen NextCloud-Umgebung aktiv betrieben wird und ob er zum Zeitpunkt einer möglichen Kompromittierung nicht lief – genau dieser Zustand ermöglicht die Ausnutzung der Schwachstelle.
3. Netzwerksegmentierung überprüfen: NextCloud-Server darf nicht direkt aus dem Internet erreichbar sein; WAF- und Firewall-Regeln anpassen, um externen Zugriff auf den CODE-Server zu blockieren.
4. Server-Logs (NextCloud, CODE-Dienst, System-Auditlog) auf unbekannte Prozessaufrufe oder Anomalien untersuchen, die auf eine bereits erfolgte Remote-Code-Execution hindeuten könnten.
5. Vorfall dem BSI melden, sofern die Einrichtung als KRITIS-Betreiber eingestuft ist und eine aktive Ausnutzung nicht ausgeschlossen werden kann; interne Sicherheitsvorfallsreaktion (IR-Plan) aktivieren.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja