Betroffene Einrichtungen
Bereich
In Adobe Campaign Classic (ACC) wurde eine kritische SQL-Injection-Schwachstelle (CVSS 10.0) identifiziert, die es einem nicht authentifizierten Angreifer ohne jegliche Benutzerinteraktion ermöglicht, beliebige SQL-Befehle auszuführen und darüber hinaus beliebigen Code im Kontext des laufenden Prozesses zu platzieren – bei verändertem Scope bedeutet dies potenziell vollständige Systemkontrolle. Adobe Campaign Classic wird in größeren Einrichtungen des Gesundheitswesens gelegentlich für Patienten- und Marketingkommunikation sowie für CRM-Prozesse eingesetzt; sofern ACC im Klinikumfeld betrieben wird, besteht das Risiko, dass Angreifer auf patientenbezogene Kommunikationsdaten zugreifen, Datenbanken manipulieren oder als Einfallstor in das klinische Netzwerk nutzen könnten. Die Bedrohung betrifft sowohl Windows- als auch Linux-basierte Deployments und erfordert aufgrund des maximalen CVSS-Scores und der ausnutzbaren Netzwerkzugänglichkeit sofortige Patchmaßnahmen sowie eine Prüfung auf bereits erfolgte Kompromittierung.
1 Adobe Campaign Classic (ACC) sofort über den offiziellen Adobe Security Bulletin auf den aktuell bereitgestellten Patch-Stand aktualisieren (Adobe-Sicherheitsupdate für ACC gemäß CVE-Meldung einspielen) und den Patch-Status anhand der Adobe-Advisories verifizieren.
2. Netzwerkseitig den Zugang zu ACC-Instanzen auf vertrauenswürdige interne Segmente beschränken (Firewall-Regeln, ACLs) und externe Erreichbarkeit umgehend unterbinden, solange kein Patch eingespielt ist.
3. Datenbankzugriffe der ACC-Applikation auf das Minimum reduzieren (Principle of Least Privilege): Datenbankkonten mit minimalen Rechten ausstatten und privilegierte DB-Rollen von ACC trennen.
4. Logs der ACC-Instanz sowie der zugrundeliegenden Datenbank auf ungewöhnliche SQL-Aktivitäten, unbekannte Logins oder Datenexporte rückwirkend prüfen und SIEM-Alarmierung aktivieren.
5. Betroffene Systeme (Windows- und Linux-Hosts mit ACC) im Rahmen des Incident-Response-Prozesses isoliert bewerten; bei Verdacht auf Kompromittierung Vorfall gemäß NIS2/B3S-Meldepflicht dokumentieren und ggf. dem BSI melden.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja