gematik ZETA Guard PEP
Server-Side Request Forgery über das innere ASL-Request-Target
Der Policy Enforcement Point (PEP) von ZETA Guard entschlüsselt über ASL getunnelte Anfragen und leitet die innere HTTP-Anfrage an das Backend weiter, das er schützt. Das Ziel dieser weitergeleiteten Anfrage folgt dem inneren Request-Target. Ein entfernter, authentisierter Angreifer mit einem registrierten ZETA-Client kann den PEP so auf jeden von ihm erreichbaren Host lenken, Methode, Pfad und Body wählen und die Antwort lesen, sofern eine zurückkommt. Betroffen ist nur ein PEP mit aktiviertem ASL, und nur durch einen Client mit gültigen Credentials eines registrierten ZETA-Clients.
Dieser Sicherheitshinweis enthält im Rahmen der koordinierten Offenlegung nur eingeschränkte Informationen. Bitte schauen Sie später für weitere Details vorbei.
Beschreibung
ZETA Guard ist die quelloffene Referenzimplementierung der gematik für die Zero-Trust-Access-Architektur (ZETA) der Telematikinfrastruktur; ihr Policy Enforcement Point terminiert über ASL getunnelte Client-Anfragen vor den Diensten, die er schützt. Die Veröffentlichung der Implementierung als Open Source hat diese Prüfung erst möglich gemacht, und wir schätzen diese Transparenz. Wir haben diese Schwachstelle im September 2026 vertraulich über das Coordinated Vulnerability Disclosure Program der gematik gemeldet. Die gematik hat sich von Beginn an konstruktiv mit dem Bericht auseinandergesetzt, innerhalb von vier Wochen behobene Versionen veröffentlicht und ein eigenes Advisory mit vollständiger Nennung herausgegeben. So soll koordinierte Offenlegung funktionieren, und wir danken dem gematik-Team dafür.
Der Fix härtet die Verarbeitung des inneren ASL-Request-Targets im PEP, sodass eine innere Anfrage kein anderes Ziel mehr wählen kann. Dies ist eine koordinierte Offenlegung; der vollständige technische Bericht folgt nach Ablauf des Remediation-Zeitfensters.
Auswirkung
- Direkt betroffen sind Betreiber eines PEP mit aktiviertem ASL: Ein bösartiger oder kompromittierter ZETA-Client kann über den PEP Dienste erreichen, die Clients nie zugänglich sein sollten. Je nachdem, welche Anfragen diese Dienste vom PEP annehmen, könnten sie Datensätze offenlegen oder Zustandsänderungen akzeptieren; wo sie Gesundheitsdaten halten, sind die dahinterstehenden Versicherten und Leistungserbringer die Betroffenen. Die Exposition hängt von der Netzwerkerreichbarkeit vom PEP aus und von den eigenen Authentifizierungs- und Autorisierungskontrollen des Ziels ab.
Abhilfe
Aktualisieren Sie zeta-guard-ngx-pep auf 1.3.3 (1.3-Linie) oder 1.2.4 (1.2-Linie) oder neuer. Wo ein Update noch nicht möglich ist, entfernt das Deaktivieren der ASL-Unterstützung im PEP den Angriffsvektor; das ZETA-Guard-Helm-Chart liefert ASL seit 1.3.1 standardmäßig deaktiviert aus. Unabhängig vom Update begrenzen strikte Egress-Network-Policies, welche Ziele der PEP erreichen kann; siehe die Anleitung der gematik zu Egress-NetworkPolicies in den Referenzen.
Referenzen
- GHSA-2665-652j-3p4c (Hersteller-Advisory)
- zeta-guard-ngx-pep Release Notes (1.3.3)
- gematik zeta-guard-ngx-pep-Repository
- gematik ZETA: Anleitung zu Egress-NetworkPolicies
- zeta-guard-helm 1.3.1 values.yaml (ASL standardmäßig deaktiviert)
- gematik Zero Trust Access (ZETA)-Repository
- gemSpec_ZETA (gematik-Spezifikation)
- gematik Coordinated Vulnerability Disclosure
So können wir helfen
Wer wir sind
Die Sicherheitsforscher hinter diesem Sicherheitshinweis.
Dr. rer. nat. Simon Weber
Senior Pentester & MedSec-Forscher
Ich evaluiere Ihr SaMD mit derselben branchenprägenden Sicherheitsexpertise, die ich dem BAK MV für die Überarbeitung des B3S-Standards beigetragen habe.
- Promotion über Krankenhaus-Cybersicherheit
- Kritische Schwachstellen in Krankenhaussystemen gefunden
- Alumni der THB MedSec-Forschungsgruppe
- gematik Security Hero
Dipl.-Inf. Volker Schönefeld
Senior Application Security Expert
Als ehemaliger CTO und Entwickler, der zum Pentester wurde, arbeite ich mit Ihrem Team zusammen, um Schwachstellen aufzudecken und Lösungen zu finden, die zu Ihrer Architektur passen.
- 20+ Jahre als CTO, 50+ Mio. App-Downloads
- Architektur und Absicherung großer IoT-Flotten
- Certified Web Exploitation Specialist
- gematik Security Hero
Penetrationstest gesucht?
Machine Spirits ist spezialisiert auf Sicherheitsbewertungen für Medizinprodukte und Gesundheits-IT. Von MDR-Penetrationstests bis C5-Cloud-Compliance helfen wir MedTech-Unternehmen, regulatorische Anforderungen zu erfüllen.