Betroffene Einrichtungen
Bereich
Adobe Campaign Classic (ACC) weist eine Server-Side Request Forgery (SSRF)-Schwachstelle mit dem maximal möglichen CVSS-Score von 10.0 auf, die ohne jegliche Benutzerinteraktion ausgenutzt werden kann und zu einer Rechteerhöhung führt; dabei ist der Scope als 'changed' eingestuft, was bedeutet, dass ein Angreifer über die ursprünglich betroffene Komponente hinaus auf weitere Systemteile zugreifen kann. Betroffen sind Installationen auf Windows- und Linux-Systemen, sodass eine breite Angriffsfläche in typischen Krankenhaus-IT-Umgebungen besteht. Sofern Adobe Campaign Classic im Klinikumfeld für Marketing-, Kommunikations- oder Patientenkommunikationsprozesse betrieben wird, kann eine erfolgreiche Ausnutzung zur vollständigen Kompromittierung des betroffenen Servers und potenziell angrenzender Systeme – einschließlich KIS oder anderer kritischer klinischer Infrastruktur – führen, was einen direkten Einfluss auf die Verfügbarkeit patientenrelevanter Daten und Prozesse hätte. Angesichts des kritischen CVSS-Scores und der fehlenden Voraussetzung einer Benutzerinteraktion ist unmittelbares Handeln durch Einspielen des verfügbaren Adobe-Sicherheitspatches dringend geboten.
1 Adobe Campaign Classic sofort über den offiziellen Adobe Security Bulletin patchen: Den von Adobe bereitgestellten Sicherheitspatch für die SSRF-Schwachstelle (CVE mit CVSS 10.0) einspielen – aktuelle Patchversion im Adobe Security Advisory prüfen und umgehend installieren.
2. Netzwerksegmentierung prüfen: Ausgehende Verbindungen vom ACC-Server auf bekannte, autorisierte Ziele beschränken (Egress-Filterung), um SSRF-Ausnutzung zu unterbinden, solange der Patch noch nicht eingespielt ist.
3. Betroffene Systeme (Windows- und Linux-Server mit ACC) auf Anzeichen einer Kompromittierung untersuchen: Logs auf ungewöhnliche ausgehende HTTP/S-Anfragen und Privilege-Escalation-Ereignisse analysieren.
4. Zugriffsrechte auf Adobe Campaign Classic-Instanzen nach dem Prinzip der minimalen Rechtevergabe überprüfen und nicht benötigte Konten oder Dienste deaktivieren.
5. Vorfall gemäß NIS2 und B3S dokumentieren und – sofern aktive Ausnutzung festgestellt wird – Meldung an BSI (DE) bzw. CERT.at (AT) und BACS (CH) vorbereiten.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja