OpenHealth: Fehlende Authentifizierung in der Gesundheitsdaten-API

Zusammenfassung

OpenHealth bis Version 0.2.0 stellt die Endpunkte /api/health-data/[id] für GET, PATCH und DELETE ohne Session- oder Besitzerprüfung bereit. Ein nicht authentifizierter Angreifer, der eine Datensatz-ID kennt, kann Krankenakten und Dateimetadaten anderer Benutzer lesen, mit beliebigem JSON überschreiben oder löschen. Der CNA bewertet die Schwachstelle als kritisch (CVSS 4.0 9.2), eine andere Bewertungsquelle nennt einen tieferen Wert, und das Risiko hängt davon ab, ob eine Instanz aus unvertrauenswürdigen Netzen erreichbar ist.

Betroffen

• OpenHealthForAll OpenHealth, Versionen 0 bis 0.2.0 (einschliesslich)
• Endpunkte: /api/health-data/[id] (GET, PATCH, DELETE)

Behoben in

Unbekannt.

Umgehung

• Die Instanz nicht direkt im Internet exponieren; sie hinter ein VPN oder einen authentifizierenden Reverse Proxy stellen oder den Zugriff auf bekannte Netze beschränken.
• Vor Änderungen eine Datenbanksicherung erstellen.
• Das Entfernen oder Einschränken der betroffenen Endpunkte erfordert eine Codeänderung, die der Betreiber validieren muss.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden; die CVE ist nicht im CISA-KEV-Katalog aufgeführt.
• Eine öffentliche Beschreibung existiert; CISA SSVC stuft die Ausnutzung als PoC und die Automatisierbarkeit als nein ein.

Unsere Empfehlung

• Prüfen, ob eine OpenHealth-Instanz aus dem Internet erreichbar ist, und diese umgehend offline nehmen oder den Zugriff einschränken.
• Webserver- und Anwendungslogs auf unerwartete GET-, PATCH- oder DELETE-Anfragen an /api/health-data/ aus unbekannten Quellen prüfen.
• Falls eine Kompromittierung nicht ausgeschlossen werden kann, Rechts- oder Compliance-Verantwortliche zur Beurteilung der Meldepflichten nach dem revidierten Schweizer DSG einbeziehen.
• Das upstream-Repository auf ein Fix-Release überwachen und dieses nach Verfügbarkeit einspielen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• Vulnerable route.ts at v0.2.0 github.com
• HackMD write-up hackmd.io
• OpenHealth GitHub repository github.com
• OSV entry osv.dev
• OpenCVE entry app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:22.