Betroffene Einrichtungen
Bereich
Eine kritische Schwachstelle in der Low-Code-Plattform Budibase (vor Version 3.39.12) erlaubt nicht authentifizierten Angreifern, sämtliche Dokumente aller verbundenen Datenbanken (MongoDB, CouchDB, Elasticsearch u. a.) auszulesen und – bei aktivierten öffentlichen Schreibabfragen – zu manipulieren. Im Gesundheitsbereich besteht ein erhebliches Risiko für Patientendatenverlust und Datenintegrität, falls klinische oder administrative Daten über Budibase-Apps exponiert sind. Ein sofortiges Update auf Version 3.39.12 ist zwingend erforderlich.
1 Sofort prüfen, ob Budibase im Haus eingesetzt wird (Low-Code-Plattform, ggf. in Fachabteilungen oder IT als Self-Service-Tool eingeführt).
2. Budibase unverzüglich auf Version 3.39.12 oder höher aktualisieren – CVSS 10.0, kein Workaround verfügbar.
3. Alle öffentlich zugänglichen Budibase-Apps deaktivieren oder hinter Authentifizierung stellen, bis der Patch eingespielt ist.
4. Datenbanken prüfen, die als Budibase-Datenquellen eingebunden sind (MongoDB, CouchDB, Elasticsearch, DynamoDB), auf unbefugte Lese- oder Schreibzugriffe in den Logs seit letztem Release.
5. Incident-Response einleiten, falls Patientendaten (z. B. aus KIS-nahen Datenbanken) über Budibase exponiert waren – Datenschutzbeauftragten informieren und ggf. Meldepflicht prüfen.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja