Betroffene Einrichtungen
Bereich
In Metabase (Open-Source Business-Intelligence- und Analytics-Plattform) deserialisieren Instanzen mit einer H2-Datenbankverbindung – einschließlich der mitgelieferten Standard-Beispieldatenbank – beliebige Java-Objekte aus Ergebnisspalten vom Typ OTHER, ohne diese zu validieren. Ein authentifizierter Nutzer, der native H2-Abfragen ausführen darf, kann dadurch beliebigen Code auf dem Metabase-Server ausführen (Remote Code Execution). Metabase wird in Gesundheitseinrichtungen häufig als Reporting- und Analyse-Werkzeug eingesetzt, etwa zur Auswertung von KIS-, LIS- oder administrativen Daten, sodass bei einem erfolgreichen Angriff ein vollständiger Serverzugriff und damit der Abfluss oder die Manipulation sensibler Patientendaten möglich wäre. Angesichts des CVSS-Scores von 9.9 ist eine sofortige Aktualisierung auf die bereitgestellten Patch-Versionen sowie eine Überprüfung der Zugriffsrechte dringend erforderlich.
1 Metabase auf Version 1.58.15, 1.59.12, 1.60.6.3 oder 1.61.1.4 aktualisieren – je nach eingesetztem Release-Zweig die entsprechende gepatchte Version einspielen.
2. Bis zur Aktualisierung: H2-Datenbankverbindungen (inkl. der Standard-Beispieldatenbank) in Metabase deaktivieren oder den Zugriff auf native H2-Abfragen auf ein Minimum vertrauenswürdiger Nutzer beschränken.
3. Benutzerrechte in Metabase prüfen und das Ausführen nativer Datenbankabfragen ausschließlich auf Administratoren oder technisch notwendige Konten einschränken.
4. Metabase-Instanzen auf Anzeichen einer Kompromittierung untersuchen (ungewöhnliche Prozesse, Netzwerkverbindungen, neue Benutzerkonten) und Logs der letzten Wochen sichten.
5. Netzseitige Segmentierung sicherstellen: Metabase-Server darf nur aus definierten internen Netzsegmenten erreichbar sein; direkter Internetzugang ist zu unterbinden.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja