Betroffene Einrichtungen
Bereich
Die Apache Camel Cometd-Komponente übernimmt ohne Filterung beliebige Header aus eingehenden CometD-Nachrichten direkt in Camel-Exchanges, was Angreifern ermöglicht, interne Steuer-Header zu manipulieren und potenziell beliebigen Code auszuführen oder Daten zu exfiltrieren. Da Apache Camel häufig als Integrationsplattform für KIS-, LIS- und FHIR-Schnittstellen im Gesundheitswesen eingesetzt wird, besteht ein erhöhtes Risiko für den Verlust von Patientendaten und den Ausfall kritischer klinischer Systeme. Mit einem CVSS-Score von 9.8 ist umgehender Handlungsbedarf gegeben – insbesondere da standardmäßig keine Bayeux SecurityPolicy aktiviert ist.
1 Sofort prüfen, ob Apache Camel mit der Cometd-Komponente im Einsatz ist (z. B. in Integrationsplattformen wie Mirth Connect, Apache ServiceMix oder eigenen HL7/FHIR-Middlewares) und betroffene Versionen identifizieren.
2. Apache Camel auf die gepatchte Version aktualisieren (≥ 4.10.3 bzw. ≥ 4.8.5 LTS – Release-Notes prüfen) und Patch-Zeitplan mit Vendor abstimmen, falls produktive KIS/LIS-Integration betroffen ist.
3. Als Sofortmaßnahme eine restriktive Bayeux SecurityPolicy implementieren und eine HeaderFilterStrategy für die Cometd-Komponente konfigurieren, um unkontrollierte Header-Übernahme zu unterbinden.
4. Netzwerkseitig den Zugang zum CometD-Endpunkt auf vertrauenswürdige interne Systeme beschränken (Firewall-Regeln, Reverse-Proxy-ACLs), sodass externe oder nicht autorisierte Clients keinen direkten Zugriff haben.
5. Log-Analyse für CometD-Verbindungen der letzten 90 Tage durchführen und auf Anomalien (unbekannte Header wie CamelHttpUri, CamelFileName, CamelJmsDestinationName) prüfen, um mögliche Ausnutzung zu erkennen.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja