Betroffene Einrichtungen
Bereich
Der consul-mcp-server in den Versionen 0.1.0 bis 0.1.3 isoliert den Session-Zustand im Stateless-Modus nicht korrekt, sodass ein Consul-Authentifizierungstoken eines Clients unbeabsichtigt für nachfolgende Anfragen anderer Clients verwendet werden kann. Dies entspricht einer vollständigen Authentifizierungsumgehung mit maximalem CVSS-Score von 10.0, was einem Angreifer erlaubt, im Kontext eines fremden Tokens sämtliche Berechtigungen innerhalb des Consul-Clusters zu übernehmen. Consul wird als Service-Discovery- und Konfigurationsmanagement-Lösung in modernen Microservice-Architekturen eingesetzt und kann in Gesundheitseinrichtungen zur Verwaltung von Backend-Diensten für KIS, Labor- oder Bildgebungssysteme betrieben werden – sofern dies der Fall ist, droht bei Ausnutzung ein unbefugter Zugriff auf kritische Infrastrukturkomponenten und potenziell auf patientenbezogene Daten. Angesichts des maximalen Schweregrads ist eine sofortige Aktualisierung auf Version 0.1.4 sowie eine Überprüfung aller bisher ausgestellten Tokens dringend erforderlich.
1 consul-mcp-server auf Version 0.1.4 aktualisieren, da erst diese Version die fehlerhafte Session-Isolierung im Stateless-Modus behebt (CVE-2026-16326).
2. Bis zum Einspielen des Updates consul-mcp-server aus dem Produktivbetrieb nehmen oder den Zugriff auf vertrauenswürdige interne Clients beschränken, um Token-Übernahmen zu verhindern.
3. Alle seit Einsatz der betroffenen Versionen (0.1.0–0.1.3) ausgestellten Consul-Authentifizierungstoken als kompromittiert betrachten und sofort rotieren/widerrufen.
4. Zugriffslogfiles des Consul-Clusters auf unerwartete oder wiederholte Token-Nutzungen durch unterschiedliche Clients überprüfen, um mögliche Ausnutzungen zu identifizieren.
5. Consul-MCP-Server hinter eine Authentifizierungs- und Netzwerksegmentierungsschicht (z. B. internes Service-Mesh, Firewall-Regeln) stellen, um das Angriffspotenzial dauerhaft zu minimieren.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja