Betroffene Einrichtungen
Bereich
Die Schwachstelle betrifft DBI::SQL::Nano, die eingebaute Mini-SQL-Engine des Perl-DBI-Moduls, in Versionen ab 1.42 bis vor 1.651. In der Methode 'is_matched' werden die Vergleichsoperatoren <= und >= für nicht-numerische Zeichenketten vertauscht ausgewertet: <= wird intern mit dem Perl-Operator 'ge' (größer-gleich) und >= mit 'le' (kleiner-gleich) verarbeitet, was zu systematisch falschen Ergebnissen bei WHERE-Bedingungen führt und einem Angreifer ermöglichen kann, Datenbankabfragen so zu manipulieren, dass unberechtigte Datensätze zurückgegeben oder legitime Datensätze ausgeblendet werden. Perl und DBI werden in Gesundheitseinrichtungen häufig für Schnittstellenskripte, Laborauswertungen, ETL-Prozesse und Backend-Komponenten von KIS- oder LIS-Systemen eingesetzt, sofern diese auf file-basierten Datenbanktreibern ohne SQL::Statement aufsetzen. Ein CVSS-Score von 9.8 unterstreicht die kritische Dringlichkeit: Betroffene Systeme sollten umgehend auf DBI-Version 1.651 oder höher aktualisiert werden.
1 DBI::SQL::Nano auf Version 1.651 oder höher aktualisieren (Perl-Modul DBI via CPAN: 'cpan install DBI' oder über den jeweiligen Paketmanager des Betriebssystems).
2. Alle Systeme inventarisieren, auf denen Perl-basierte Applikationen mit DBI-Datenbankzugriff betrieben werden – insbesondere file-basierte Datenbanktreiber (DBD::File, DBD::DBM, CSV-Treiber) ohne installiertes SQL::Statement-Modul.
3. Prüfen, ob kritische Anwendungen (KIS-Backend, LIS-Interfaces, Skripte zur Laborauswertung) von fehlerhaften WHERE-Abfragen betroffen sein könnten, und betroffene Queries auf korrekte Ergebnisse testen.
4. Kurzfristig: SQL::Statement als Ersatz-Query-Engine installieren ('cpan install SQL::Statement'), um den fehlerhaften SQL::Nano-Codepfad zu umgehen.
5. Patchstatus in Change-Management dokumentieren und nach Update Regressionstests für alle betroffenen Datenbankabfragen durchführen.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja