⚠️ Mögliche Auswirkung auf Patientensicherheit

Betroffene Einrichtungen

🏥 Krankenhaus🏨 Fachklinik🏃 Rehaklinik🏡 Pflegeheim🔬 Labor🏢 Ambulantes Zentrum

Bereich

IT-InfrastrukturKIS-SoftwareLIS / RIS / PACS
Beschreibung

In DbGate bis einschließlich Version 7.1.8 ermöglicht eine kritische Schwachstelle im JSON-Script-Runner (Endpunkt POST /runners/start) die Remote-Ausführung beliebigen Codes: Der Parameter `functionName` von `assign`-Befehlen wird ungefiltert per String-Konkatenation in dynamisch generierten JavaScript-Quellcode eingebettet und anschließend in einem Node.js-Kindprozess ausgeführt, was einem nicht authentifizierten Angreifer vollständige Kontrolle über den betroffenen Server verschaffen kann. DbGate wird als plattformübergreifendes Datenbankmanagement-Tool eingesetzt und kann in Gesundheitseinrichtungen Zugang zu klinischen Datenbanken – etwa für KIS- oder LIS-Backends – besitzen, sofern es dort als Administrationswerkzeug betrieben wird; ein erfolgreicher Angriff würde in diesem Kontext Patientendaten gefährden und kritische Systeme kompromittieren. Angesichts des maximalen CVSS-Scores von 10.0 ist eine sofortige Aktualisierung auf Version 7.1.9 sowie eine restriktive Netzwerkzugangskontrolle dringend erforderlich.

Handlungsempfehlung

1 DbGate auf Version 7.1.9 aktualisieren, da diese den Patch für die Remote-Code-Execution-Schwachstelle im JSON-Script-Runner enthält.

2. Bis zur Aktualisierung den Endpunkt POST /runners/start auf Netzwerkebene sperren oder den Zugriff auf vertrauenswürdige interne IP-Adressen beschränken.

3. Prüfen, ob DbGate in der betroffenen Umgebung mit erhöhten Rechten betrieben wird, und ggf. Berechtigungen auf das Minimum reduzieren (Principle of Least Privilege).

4. Protokoll- und Logdateien des DbGate-Servers auf verdächtige Aktivitäten (unbekannte POST-Anfragen an /runners/start) untersuchen, um mögliche Ausnutzung rückwirkend zu erkennen.

5. Netzwerksegmentierung sicherstellen, sodass Datenbankmanagement-Tools wie DbGate ausschließlich aus dem internen Administrationsnetz erreichbar sind und kein Internetzugang besteht.

🔒

Weitere konkrete Handlungsschritte für Ihre IT-Abteilung
sind ISMShield AI Kunden vorbehalten.

Jetzt freischalten →
Regulatorische Einordnung

NIS2-Relevanz: •••    B3S: •••    ISG: ••ˆ    Meldepflicht DE: ja

🔒

Regulatorische Einordnung (NIS2, B3S, ISG, nDSG)
nur für ISMShield AI Kunden.

Details freischalten →