Betroffene Einrichtungen
Bereich
In Pheditor, einem in PHP geschriebenen Einzeldatei-Editor und Dateimanager, besteht in den Versionen 2.0.1 bis vor 2.0.4 eine OS-Command-Injection-Schwachstelle im Terminal-Action-Handler: Ein authentifizierter Angreifer kann durch das Einschleusen von Shell-Metazeichen in den POST-Parameter 'dir' die vorgesehene TERMINAL_COMMANDS-Whitelist vollständig umgehen und beliebige Betriebssystembefehle mit den Rechten des Webserver-Prozesses ausführen, was einer vollständigen Remote-Code-Execution entspricht (CVSS 9.9). Sofern Pheditor im Klinikumfeld als einfaches Datei- und Code-Verwaltungswerkzeug auf Webservern betrieben wird – etwa zur Pflege von Konfigurationsdateien oder Skripten –, ermöglicht diese Schwachstelle einem Angreifer, auf patientenbezogene Daten zuzugreifen, Systeme zu kompromittieren oder kritische Dienste wie KIS- und LIS-Anbindungen zu stören. Angesichts des kritischen CVSS-Scores und der Möglichkeit zur vollständigen Systemübernahme ist eine sofortige Aktualisierung auf Version 2.0.4 sowie eine umgehende Prüfung möglicher Kompromittierungen dringend erforderlich.
1 Pheditor auf Version 2.0.4 aktualisieren, da erst diese Version die OS-Command-Injection-Schwachstelle im Terminal-Action-Handler schließt (betroffen: 2.0.1 bis <2.0.4).
2. Bis zum Einspielen des Updates den Terminal-Endpunkt von Pheditor durch Webserver-Konfiguration (z. B. .htaccess, nginx location block) oder eine WAF-Regel vollständig sperren.
3. Überprüfen, ob Pheditor im Gesundheitsnetz erreichbar ist und Zugriff auf ausschließlich autorisierte Benutzer mit starker Authentifizierung beschränken; öffentliche Erreichbarkeit sofort unterbinden.
4. Log-Analyse des Webservers auf verdächtige POST-Anfragen an den Terminal-Handler (Parameter 'dir' mit Shell-Metazeichen) durchführen, um mögliche Ausnutzung rückwirkend zu erkennen.
5. Inventarisierung aller Pheditor-Instanzen im Netzwerk vornehmen und Einsatz auf produktiven Systemen grundsätzlich prüfen – Ablösung durch sichere, unternehmensgradige Dateimanager-Lösungen erwägen.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja