Betroffene Einrichtungen
Bereich
Eine kritische Schwachstelle (CVSS 10.0) in den Disability Access APIs von Mozilla Firefox und Thunderbird ermöglicht es einem Angreifer, durch einen ungültigen Zeiger den Sandbox-Schutzmechanismus zu umgehen und damit potenziell beliebigen Code außerhalb der Browser-Sandbox auszuführen. Ein erfolgreicher Angriff könnte zur vollständigen Kompromittierung des betroffenen Endgeräts führen, einschließlich Zugriff auf lokal gespeicherte oder übertragene Patientendaten. Firefox und Thunderbird werden in Gesundheitseinrichtungen häufig auf klinischen Arbeitsplätzen eingesetzt – sofern diese Systeme Zugang zu KIS, RIS, PACS oder E-Mail-Kommunikation mit Patientendaten haben, besteht ein erhöhtes Risiko für Datenschutzverletzungen und den Ausfall kritischer klinischer Prozesse. Angesichts des maximalen CVSS-Scores ist eine sofortige Aktualisierung auf Firefox 153 bzw. Thunderbird 153 dringend erforderlich.
1 Firefox auf Version 153 und Thunderbird auf Version 153 aktualisieren – beide Versionen enthalten den Fix für diesen kritischen Sandbox-Escape.
2. Inventarisierung aller Endgeräte im Kliniknetz auf veraltete Firefox- und Thunderbird-Versionen (< 153) durchführen und priorisiert patchen, insbesondere auf Systemen mit Zugang zu KIS, RIS oder PACS.
3. Bis zum vollständigen Patch-Rollout browserbasierten Internetzugang auf betroffenen Systemen einschränken oder nur über isolierte Browser-Umgebungen (z. B. Citrix, RDS) erlauben.
4. Prüfen, ob Firefox oder Thunderbird auf medizinischen Workstations oder PACS-Clients eingesetzt werden, und diese Systeme bevorzugt behandeln.
5. Vorfall- und Patch-Status gemäß internem ISMS dokumentieren und bei KRITIS-Einrichtungen die Meldepflicht gemäß NIS2 prüfen, sofern ein aktiver Angriff festgestellt wird.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja