Betroffene Einrichtungen
Bereich
In DbGate bis einschließlich Version 7.1.8 ermöglicht eine kritische Schwachstelle im JSON-Script-Runner (Endpunkt POST /runners/start) die Remote-Ausführung beliebigen Codes: Der Parameter `functionName` von `assign`-Befehlen wird ungefiltert per String-Konkatenation in dynamisch generierten JavaScript-Quellcode eingebettet und anschließend in einem Node.js-Kindprozess ausgeführt, was einem nicht authentifizierten Angreifer vollständige Kontrolle über den betroffenen Server verschaffen kann. DbGate wird als plattformübergreifendes Datenbankmanagement-Tool eingesetzt und kann in Gesundheitseinrichtungen Zugang zu klinischen Datenbanken – etwa für KIS- oder LIS-Backends – besitzen, sofern es dort als Administrationswerkzeug betrieben wird; ein erfolgreicher Angriff würde in diesem Kontext Patientendaten gefährden und kritische Systeme kompromittieren. Angesichts des maximalen CVSS-Scores von 10.0 ist eine sofortige Aktualisierung auf Version 7.1.9 sowie eine restriktive Netzwerkzugangskontrolle dringend erforderlich.
1 DbGate auf Version 7.1.9 aktualisieren, da diese den Patch für die Remote-Code-Execution-Schwachstelle im JSON-Script-Runner enthält.
2. Bis zur Aktualisierung den Endpunkt POST /runners/start auf Netzwerkebene sperren oder den Zugriff auf vertrauenswürdige interne IP-Adressen beschränken.
3. Prüfen, ob DbGate in der betroffenen Umgebung mit erhöhten Rechten betrieben wird, und ggf. Berechtigungen auf das Minimum reduzieren (Principle of Least Privilege).
4. Protokoll- und Logdateien des DbGate-Servers auf verdächtige Aktivitäten (unbekannte POST-Anfragen an /runners/start) untersuchen, um mögliche Ausnutzung rückwirkend zu erkennen.
5. Netzwerksegmentierung sicherstellen, sodass Datenbankmanagement-Tools wie DbGate ausschließlich aus dem internen Administrationsnetz erreichbar sind und kein Internetzugang besteht.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja