⚠️ Mögliche Auswirkung auf Patientensicherheit

Betroffene Einrichtungen

🏥 Krankenhaus🏨 Fachklinik🏃 Rehaklinik🏡 Pflegeheim🔬 Labor🏢 Ambulantes Zentrum

Bereich

IT-InfrastrukturKIS-SoftwareLIS / RIS / PACSCloud-Dienste
Beschreibung

Die Apache Camel Cometd-Komponente übernimmt ohne Filterung beliebige Header aus eingehenden CometD-Nachrichten direkt in Camel-Exchanges, was Angreifern ermöglicht, interne Steuer-Header zu manipulieren und potenziell beliebigen Code auszuführen oder Daten zu exfiltrieren. Da Apache Camel häufig als Integrationsplattform für KIS-, LIS- und FHIR-Schnittstellen im Gesundheitswesen eingesetzt wird, besteht ein erhöhtes Risiko für den Verlust von Patientendaten und den Ausfall kritischer klinischer Systeme. Mit einem CVSS-Score von 9.8 ist umgehender Handlungsbedarf gegeben – insbesondere da standardmäßig keine Bayeux SecurityPolicy aktiviert ist.

Handlungsempfehlung

1 Sofort prüfen, ob Apache Camel mit der Cometd-Komponente im Einsatz ist (z. B. in Integrationsplattformen wie Mirth Connect, Apache ServiceMix oder eigenen HL7/FHIR-Middlewares) und betroffene Versionen identifizieren.

2. Apache Camel auf die gepatchte Version aktualisieren (≥ 4.10.3 bzw. ≥ 4.8.5 LTS – Release-Notes prüfen) und Patch-Zeitplan mit Vendor abstimmen, falls produktive KIS/LIS-Integration betroffen ist.

3. Als Sofortmaßnahme eine restriktive Bayeux SecurityPolicy implementieren und eine HeaderFilterStrategy für die Cometd-Komponente konfigurieren, um unkontrollierte Header-Übernahme zu unterbinden.

4. Netzwerkseitig den Zugang zum CometD-Endpunkt auf vertrauenswürdige interne Systeme beschränken (Firewall-Regeln, Reverse-Proxy-ACLs), sodass externe oder nicht autorisierte Clients keinen direkten Zugriff haben.

5. Log-Analyse für CometD-Verbindungen der letzten 90 Tage durchführen und auf Anomalien (unbekannte Header wie CamelHttpUri, CamelFileName, CamelJmsDestinationName) prüfen, um mögliche Ausnutzung zu erkennen.

🔒

Weitere konkrete Handlungsschritte für Ihre IT-Abteilung
sind ISMShield AI Kunden vorbehalten.

Jetzt freischalten →
Regulatorische Einordnung

NIS2-Relevanz: •••    B3S: •••    ISG: ••ˆ    Meldepflicht DE: ja

🔒

Regulatorische Einordnung (NIS2, B3S, ISG, nDSG)
nur für ISMShield AI Kunden.

Details freischalten →