InterSystems IRIS for Health: Übertragung sensibler Daten im Klartext

Zusammenfassung

Die TLS-Verschlüsselung des IRIS-for-Health-Superservers ist standardmässig deaktiviert. Ein Angreifer mit Netzwerkzugang zwischen Client und Server kann den Datenverkehr mitlesen, der auch Zugangsdaten enthalten kann, und diese für eine Anmeldung am System verwenden. Für das Abfangen des Datenverkehrs ist keine Anmeldung nötig.

Betroffen

• InterSystems IRIS for Health 2026.2.0.221
• InterSystems IRIS for Health 2026.1.0.235
• InterSystems IRIS for Health 2025.3.0.226
• Standardkonfiguration (TLS auf dem Superserver deaktiviert)

Behoben in

Unbekannt. Es wurde keine korrigierte Version identifiziert; der Hersteller gibt an, dass derzeit keine Produktänderung geplant ist.

Umgehung

• Die SSL/TLS-Unterstützungsstufe des Superservers auf "Required" setzen (nicht "Enabled", da dies unverschlüsselte Verbindungen zulässt).
• Sicherstellen, dass Clients die Zertifikatskette und Identität des Servers prüfen.
• Superserver nicht direkt aus unvertrauenswürdigen Netzwerken, einschliesslich dem Internet, erreichbar machen; Firewalls und Netzwerksegmentierung einsetzen.
• Alle IRIS-Instanzen prüfen, einschliesslich Standard-Superservern auf neuen Installationen.

Ausnutzung

• Gemäss CISA wurde zum jetzigen Zeitpunkt keine bekannte öffentliche Ausnutzung gemeldet.
• Kein öffentlicher Proof of Concept identifiziert (Exploit-DB: keiner).
• In einer Bulletin wurde ein Widerspruch bezüglich des KEV-Katalogs gefunden; der KEV-Katalog sollte direkt geprüft werden.

Unsere Empfehlung

• Alle IRIS-for-Health-Instanzen im Umfeld inventarisieren; falls keine vorhanden sind, ist keine Massnahme nötig.
• TLS "Required" auf allen Superservern erzwingen und die Prüfung von Client-Zertifikaten sicherstellen.
• Zugriff auf den Superserver auf vertrauenswürdige Netzwerke beschränken und prüfen, ob eine Instanz von aussen erreichbar ist.
• WRC des Herstellers und CISA-Advisory ICSMA-26-295-01 auf eine Korrektur überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CISA ICSMA-26-295-01 www.cisa.gov
• CISA ICSMA-26-295-01 CSAF file github.com
• InterSystems community post on CVE-2026-111594 community.intersystems.com
• InterSystems: Managing Superservers docs.intersystems.com
• InterSystems: Security Checklist docs.intersystems.com
• InterSystems WRC wrc.intersystems.com
• VulDB CVE-2026-111594 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:04.