Betroffene Einrichtungen
Bereich
Adobe Campaign Classic (ACC) weist eine kritische Schwachstelle bei der unsachgemäßen Neutralisierung von Sonderzeichen in einer Template-Engine auf (CVSS 10.0), die einem nicht authentifizierten Angreifer ermöglicht, beliebigen Code im Kontext des aktuellen Benutzers auszuführen – ohne jegliche Benutzerinteraktion und mit einem geänderten Scope, was bedeutet, dass der Angriff über die betroffene Komponente hinaus wirken kann. Betroffen sind Installationen auf Windows- und Linux-Systemen, auf denen ACC läuft. Sofern Adobe Campaign Classic in Gesundheitseinrichtungen für Patientenkommunikation, Marketing-Automatisierung oder interne Benachrichtigungsdienste eingesetzt wird, kann eine erfolgreiche Ausnutzung zur vollständigen Kompromittierung des betroffenen Servers führen und von dort als Ausgangspunkt für Angriffe auf angebundene Systeme wie KIS oder interne Netzwerke dienen. Angesichts des maximalen CVSS-Scores ist sofortiges Patchen und die Überprüfung betroffener Systeme auf Kompromittierung zwingend erforderlich.
1 Adobe Campaign Classic (ACC) sofort auf den von Adobe bereitgestellten Sicherheitspatch aktualisieren – den offiziellen Adobe Security Bulletin zu CVE prüfen und den dort genannten Patch-Stand für ACC unverzüglich einspielen, da keine Benutzerinteraktion zur Ausnutzung erforderlich ist.
2. Systeme, auf denen ACC betrieben wird (Windows- und Linux-Server), isolieren oder durch Netzwerksegmentierung vom restlichen Kliniknetz trennen, bis der Patch eingespielt ist.
3. Protokolle und Logs der ACC-Instanzen auf Anzeichen einer bereits erfolgten Kompromittierung (unbekannte Prozesse, unerwartete Netzwerkverbindungen) untersuchen und Incident-Response-Prozess einleiten, sofern Anomalien festgestellt werden.
4. Zugriffsrechte auf ACC-Server nach dem Prinzip der minimalen Rechte überprüfen und Dienstkonten auf notwendige Berechtigungen beschränken, um das Schadenspotenzial durch beliebige Codeausführung zu begrenzen.
5. Vorfall gemäß internem Meldeprozess dokumentieren und – bei Nachweis aktiver Ausnutzung in KRITIS-Einrichtungen – Meldung an BSI (NIS2) bzw. BACS (CH) oder CERT.at (AT) vorbereiten.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja