Betroffene Einrichtungen
Bereich
In der Open-Source-Orchestrierungsplattform Kestra ermöglicht ein Fehler im Authentifizierungsfilter anonymen Zugriff auf beliebige API-Ressourcen, indem Anfragen mit dem Pfadsuffix '/configs' ohne Berechtigungsprüfung durchgelassen werden. Mit einem CVSS-Score von 10.0 ist diese Schwachstelle als kritisch einzustufen und erlaubt vollständigen Zugriff auf Konfigurationsdaten, Secrets und potenziell angebundene Systeme wie KIS oder Laborinfrastrukturen. Einrichtungen, die Kestra für Datenorchestrierung einsetzen, müssen sofort patchen und eine mögliche Kompromittierung prüfen.
1 Sofort prüfen, ob Kestra im eigenen Betrieb eingesetzt wird (Versionen < 1.0.45 oder < 1.3.21 sind betroffen) und ggf. sofort vom Netz trennen.
2. Update auf Kestra >= 1.0.45 (Stable-Branch) bzw. >= 1.3.21 (aktueller Branch) umgehend einspielen – keine Kompromisse bei CVSS 10.0.
3. Kestra-Instanzen NICHT öffentlich im Internet exponieren: Zugang ausschließlich über VPN oder internes Netz erzwingen, WAF/Firewall-Regeln für /api/v1/**/configs prüfen und einschränken.
4. Zugriffslogs der Kestra-REST-API rückwirkend auf anonyme Zugriffe auf Endpunkte mit dem Suffix /configs analysieren – mögliche Kompromittierung von Zugangsdaten und Konfigurationsdaten feststellen.
5. Falls Kestra für Orchestrierung klinischer Datenflüsse (KIS-Anbindung, ETL, Laborpipelines) genutzt wird: Datenschutzbeauftragten und CISO informieren, da Patientendaten exponiert gewesen sein könnten.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja