Betroffene Einrichtungen
Bereich
IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.1 enthält hart kodierte Zugangsdaten (z. B. Passwörter oder kryptografische Schlüssel), die für die eigene eingehende Authentifizierung, ausgehende Kommunikation zu externen Komponenten oder die Verschlüsselung interner Daten verwendet werden – ein Angreifer kann diese statischen Credentials ohne besonderen Aufwand extrahieren und damit vollständige Kontrolle über die Anwendung und angebundene Systeme erlangen (CVSS 9.8 / kritisch). Sofern Langflow im Klinikumfeld als KI- oder Automatisierungsplattform betrieben wird – etwa zur Anbindung von KIS-, LIS- oder PACS-Schnittstellen oder zur Verarbeitung klinischer Daten – besteht das Risiko eines unbefugten Datenzugriffs auf Patienteninformationen sowie einer Kompromittierung nachgelagerter medizinischer IT-Systeme auf Windows-, macOS- oder Linux-Servern. Angesichts des kritischen CVSS-Scores und der potenziellen Auswirkungen auf die Patientendatensicherheit ist unverzügliches Handeln geboten: Betroffene Instanzen sollten sofort isoliert und schnellstmöglich aktualisiert werden.
1 IBM Langflow OSS sofort auf eine Version oberhalb 1.10.1 aktualisieren, sobald ein Patch verfügbar ist; bis dahin alle Instanzen im Versionszeitraum 1.0.0–1.10.1 vom Netz nehmen oder durch Netzwerksegmentierung vollständig isolieren.
2. Hard-coded Credentials identifizieren: Konfigurationsdateien, API-Keys und kryptografische Schlüssel der betroffenen Langflow-Instanzen auf statische Zugangsdaten prüfen und alle abhängigen Dienste (z. B. angebundene KIS/LIS-Schnittstellen) als potenziell kompromittiert betrachten.
3. Netzwerkzugang zu Langflow-Diensten auf autorisierte interne Systeme beschränken (Firewall-Regeln, Allowlisting) und externe Erreichbarkeit vollständig sperren, solange die Schwachstelle nicht behoben ist.
4. Logs der betroffenen Instanzen auf unautorisierte Zugriffe oder ungewöhnliche Authentifizierungsereignisse untersuchen und bei Verdacht auf Kompromittierung einen Incident-Response-Prozess einleiten.
5. Bestandsaufnahme aller Langflow-Deployments im Haus durchführen (on-premise sowie Cloud/SaaS) und Ergebnis im Rahmen des ISMS dokumentieren; bei KRITIS-Einrichtungen Meldepflicht gegenüber BSI prüfen, sofern ein aktiver Angriff festgestellt wird.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja