Betroffene Einrichtungen
Bereich
In Splunk Enterprise ermöglicht eine fehlende Authentifizierung an einem PostgreSQL-Sidecar-Endpunkt nicht authentifizierten Angreifern das Erstellen oder Abschneiden beliebiger Dateien. Da Splunk in Krankenhäusern häufig zur zentralen Log-Analyse und Überwachung kritischer Systeme (KIS, PACS, IT-Infrastruktur) eingesetzt wird, besteht ein erhebliches Risiko für die Verfügbarkeit und Integrität patientenrelevanter Daten. Sofortige Patches und Netzwerksegmentierung sind dringend erforderlich.
1 Splunk Enterprise sofort auf die aktuelle gepatchte Version aktualisieren (Herstelleradvisory prüfen und entsprechenden Fix-Release einspielen).
2. PostgreSQL-Sidecar-Service-Endpunkt von Splunk umgehend netzwerkseitig isolieren: Zugriff auf den betroffenen Port ausschließlich auf autorisierte interne IP-Adressen beschränken (Firewall-Regel setzen).
3. Überprüfen, ob der PostgreSQL-Sidecar-Dienst in der eigenen Umgebung aktiv ist; falls nicht benötigt, Dienst deaktivieren und automatischen Start unterbinden.
4. Splunk-Logdateien und Dateiintegrität auf unautorisierte Dateimanipulationen oder -erstellungen prüfen (forensische Sichtung der PostgreSQL-Sidecar-Logs seit letztem bekannten sicheren Zustand).
5. Netzwerkzugang zu Splunk-Instanzen auf interne Management-Netze beschränken und sicherstellen, dass kein direkter Internetzugang zu Splunk-Ports besteht (externe Angriffsfläche minimieren).
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja