Betroffene Einrichtungen
Bereich
SiYuan vor Version 3.7.2 weist eine kritische fehlende Autorisierungsprüfung am POST /mcp Kernel-Endpunkt auf, der 31 MCP-Tools exponiert – darunter ein Datei-Tool mit Lese-, Schreib-, Lösch-, Umbenennen- und Kopieraktionen über den gesamten Workspace. Ist der Publish-Server im anonymen Modus aktiv (Conf.Publish.Enable=true und Conf.Publish.Auth.Enable=false), hängt der Reverse Proxy automatisch ein anonymes RoleReader-JWT an proxied Anfragen an, wodurch ein entfernter, nicht authentifizierter Angreifer mit einem CVSS-Score von 10.0 vollständigen Dateisystemzugriff erlangen kann. SiYuan wird als Wissensmanagement- und Notiz-Werkzeug eingesetzt und könnte in Gesundheitseinrichtungen zur Ablage klinischer Dokumentationen, Behandlungsnotizen oder organisatorischer Daten verwendet werden – sofern dort betrieben, besteht das Risiko der vollständigen Kompromittierung sensibler Daten inklusive potenzieller Patienteninformationen. Angesichts des maximalen CVSS-Scores und der trivialen Ausnutzbarkeit ist eine sofortige Aktualisierung auf Version 3.7.2 oder die Deaktivierung des anonymen Publish-Servers als Notfallmaßnahme dringend geboten.
1 SiYuan auf Version 3.7.2 oder neuer aktualisieren, da erst ab dieser Version die fehlende Autorisierungsprüfung am POST /mcp Endpunkt behoben ist.
2. Bis zur Aktualisierung den Publish-Server in SiYuan deaktivieren (Conf.Publish.Enable=false) oder zumindest die anonyme Authentifizierung abschalten (Conf.Publish.Auth.Enable=true), um den unauthentifizierten Zugriffspfad über den Reverse Proxy zu unterbinden.
3. Netzwerkseitig den Zugriff auf SiYuan-Instanzen (insbesondere den Publish-Server-Port) durch Firewall-Regeln auf interne, autorisierte IP-Adressen beschränken und externen Zugriff blockieren.
4. Alle im SiYuan-Workspace gespeicherten Dateien und Inhalte auf unautorisierte Zugriffe, Änderungen oder Dateiexfiltration prüfen – insbesondere wenn der Publish-Server im anonymen Modus aktiv war.
5. Inventarisierung aller SiYuan-Installationen im Klinikumfeld durchführen und prüfen, ob sensible Patientendaten oder klinische Dokumente im betroffenen Workspace abgelegt sind; ggf. Datenschutzbeauftragten einbeziehen.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja