Betroffene Einrichtungen
Bereich
Das weit verbreitete Container-Sicherheits-Scanning-Tool Trivy von Aquasecurity enthält eingebetteten Schadcode, der Angreifern vollständigen Zugriff auf CI/CD-Umgebungen ermöglicht – inklusive aller Secrets, Zugangsdaten und Konfigurationsdaten im Speicher. Krankenhäuser und Gesundheitseinrichtungen, die Trivy in DevOps- oder Container-Deployment-Prozessen nutzen, müssen ihre gesamte Build-Infrastruktur sowie alle darüber deployten Systeme (KIS, LIS, Cloud-Dienste) als potenziell kompromittiert betrachten. Aufgrund der möglichen Weitergabe von Patientendaten und dem Risiko kritischer Systemausfälle besteht unmittelbarer Handlungsbedarf.
1 Sofort prüfen, ob Trivy in CI/CD-Pipelines oder Container-Scanning-Prozessen eingesetzt wird – alle betroffenen Versionen identifizieren und isolieren.
2. CI/CD-Umgebung umgehend auf Kompromittierung untersuchen: alle gespeicherten Secrets, Tokens, SSH-Keys und Cloud-Credentials als kompromittiert betrachten und rotieren.
3. Betroffene Trivy-Instanzen deaktivieren und aus Pipelines entfernen bis ein sauberes, verifizierbares Release verfügbar ist – Integrität des Build-Systems (z. B. GitHub Actions, GitLab CI, Jenkins) überprüfen.
4. Passwörter und Zugangsdaten für angebundene Systeme (KIS, LIS, Datenbankserver, Cloud-Dienste) vorsorglich zurücksetzen und Zugriffsprotokolle der letzten 90 Tage auf ungewöhnliche Aktivitäten analysieren.
5. Incident-Response-Prozess einleiten: Netzwerkverkehr aus betroffenen Build-Systemen auf externe Verbindungen prüfen und ggf. BSI/BACS gemäß NIS2/ISG informieren.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja