Betroffene Einrichtungen
Bereich
Eine kritische Schwachstelle in Traefik (CVSS 10.0) ermöglicht Angreifern, Authentifizierungsmechanismen (BasicAuth, DigestAuth, ForwardAuth) vollständig zu umgehen, indem Underscore-Varianten von Identity-Headern injiziert werden, die Traefik nicht bereinigt. Im Gesundheitswesen besonders gefährlich, da Traefik häufig als Reverse Proxy vor KIS, PACS oder klinischen APIs betrieben wird – ein Angreifer könnte unautorisiert auf Patientendaten zugreifen. Sofortiger Patch-Einsatz ist zwingend erforderlich.
1 Traefik sofort auf v2.11.51, v3.6.22 oder v3.7.6 aktualisieren – Patches sind verfügbar und zwingend einzuspielen.
2. Prüfen, ob Traefik als Reverse Proxy vor KIS, PACS, RIS oder anderen klinischen Anwendungen eingesetzt wird – diese Pfade sind vorrangig zu sichern.
3. Temporär: In nachgelagerten Backend-Systemen eingehende Header mit Unterstrichen (z. B. X_Forwarded_User) aktiv ablehnen oder filtern, bis der Patch eingespielt ist.
4. Zugriffsprotokolle auf verdächtige Header-Injektionen (Underscore-Varianten wie X_Forwarded_For, X_Remote_User) rückwirkend analysieren, um mögliche Ausnutzung zu erkennen.
5. WAF- oder API-Gateway-Regeln prüfen und ergänzen, sodass Underscore-Header-Varianten blockiert werden, bevor sie Traefik erreichen.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja