Betroffene Einrichtungen
Bereich
In der Open-Source-Orchestrierungsplattform Kestra ermöglicht ein fehlerhafter Suffix-Vergleich im AuthenticationFilter das vollständige Umgehen der Basic-Auth-Authentifizierung auf beliebigen API-Pfaden mit dem Segment 'configs'. Ein nicht authentifizierter Angreifer kann dadurch beliebige Workflows erstellen und ausführen – inklusive Shell- und Python-Script-Plugins, was zu Remote Code Execution auf dem Kestra-Server führt. Für Healthcare-IT-Umgebungen, in denen Kestra für Datenintegration oder Prozessautomatisierung (z. B. HL7/FHIR-Pipelines) eingesetzt wird, besteht ein kritisches Risiko für Patientendaten und Systemverfügbarkeit.
1 Kestra sofort auf Version 1.0.45 bzw. 1.3.21 oder höher aktualisieren – kein Workaround ausreichend bei CVSS 10.0.
2. Bis zum Patch: Kestra-API-Endpunkte über Firewall/Reverse-Proxy vollständig vom Internet und nicht autorisierten internen Netzsegmenten isolieren.
3. Audit-Logs auf unauthentifizierte Zugriffe auf /configs-Endpunkte und unbekannte Workflow-Ausführungen prüfen (insb. Shell/Python-Script-Plugins).
4. Script-Execution-Plugins (plugin-script-shell, plugin-script-python) deaktivieren, sofern nicht betriebsnotwendig, um Remote Code Execution zu verhindern.
5. Prüfen, ob Kestra in CI/CD-Pipelines oder Datenintegrationsprozessen (z. B. HL7, FHIR) im klinischen Umfeld eingesetzt wird und dort kritische Patientendaten verarbeitet werden – ggf. Betrieb vorübergehend einstellen.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja