Betroffene Einrichtungen
Bereich
In der 3DEXPERIENCE-Plattform von Dassault Systèmes wurde eine kritische Deserialisierungsschwachstelle (CVSS 10.0) in der Station Launcher App identifiziert, die sämtliche Releases von R2023x bis R2026x betrifft. Ein nicht authentifizierter Angreifer kann durch das Einschleusen manipulierter serialisierter Daten beliebigen Programmcode auf dem betroffenen System aus der Ferne ausführen, ohne dass hierfür Benutzerinteraktion oder Zugangsdaten erforderlich sind. Die 3DEXPERIENCE-Plattform wird in industriellen und technischen Umgebungen – sofern im Klinikumfeld betrieben – typischerweise für Konstruktions-, Simulations- oder Planungsprozesse eingesetzt und kann dort an IT-Infrastrukturen, Netzwerke und ggf. klinische Systeme angebunden sein, was im Kompromittierungsfall eine laterale Ausbreitung in kritische Bereiche ermöglicht. Angesichts des maximalen CVSS-Scores und der Möglichkeit zur vollständigen Systemübernahme ist umgehendes Handeln – Patchen oder Isolieren der betroffenen Systeme – zwingend erforderlich.
1 3DEXPERIENCE-Plattform auf Release R2026x mit dem vom Hersteller Dassault Systèmes bereitgestellten Sicherheitspatch aktualisieren – gemäß Herstellerhinweis sind alle Versionen von R2023x bis R2026x betroffen, daher Patch-Stand beim Hersteller prüfen und sofort einspielen.
2. Station Launcher App bis zur Verfügbarkeit eines Patches vom Netz nehmen oder den Zugriff auf vertrauenswürdige, intern definierte Netzwerksegmente einschränken (Firewall-Regeln, Netzwerksegmentierung), um unauthentifizierte Remote-Zugriffe zu blockieren.
3. Systeme, auf denen die 3DEXPERIENCE-Plattform läuft, auf Anzeichen einer Kompromittierung untersuchen (Logfile-Analyse, unbekannte Prozesse, verdächtige Netzwerkverbindungen) und Incident-Response-Prozess einleiten falls Auffälligkeiten festgestellt werden.
4. Benutzer- und Dienstkonten der betroffenen Systeme als potenziell kompromittiert betrachten und Passwörter zurücksetzen sowie Berechtigungen überprüfen, insbesondere falls die Plattform in AD-Umgebungen integriert ist.
5. Vorfall gemäß NIS2 und B3S intern dokumentieren und bei bestätigter aktiver Ausnutzung Meldepflicht beim BSI (DE), BACS (CH) bzw. CERT.at (AT) prüfen und ggf. fristgerecht einleiten.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja