SecBoard
Zurück zur CVE-Übersicht

CVE-2026-50578

HIGH(7.5)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Risk Signal Score19/100 — NIEDRIG
  • CVSS 7.5 — Hoch

EPSS-Score

0.2%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

7.5

Technische Schwere

Beschreibung

ePA 3.x Integration implements the authorization workflow and writes Medical Information Objects to Germany's electronic patient record. Prior to 1.3.0, ePA 3.x Integration disables TLS certificate verification for both ePA connections in app/vau/VAUProtokoll.py and Konnektor connections in app/konnektor/Konnektor.py. A network-positioned attacker can present an arbitrary certificate, terminate the TLS connection, and intercept ePA traffic. The VAU protocol does not provide an effective fallback because its application-layer certificate validation is also broken in affected versions. The Konnektor session uses self.session.verify set to False while the client authenticates with self.session.cert, so an attacker impersonating the Konnektor can receive the client's mutual TLS certificate exchange and observe smartcard operations. This issue is fixed in version 1.3.0.

Erkennung & Indikatoren

Ausnutzung

In den geprüften Quellen nicht genannt

Behobene Versionen

  • 1.3.0

Threat-Hunting-Queries

Die Schwachstelle betrifft die Deaktivierung der TLS-Zertifikatsprüfung in der ePA 3.x Integration. Eine direkte IOC-basierte Erkennung ist schwierig, da es um das Fehlen einer Prüfung geht. Verhaltensbasierte Erkennung könnte auf ungewöhnliche Netzwerkverbindungen oder den Start von Shells durch Python-Prozesse abzielen, die normalerweise keine Shells starten sollten. Dies erfordert jedoch eine g

Sentinel/Defender KQL

DeviceProcessEvents
| where InitiatingProcessCommandLine contains "python" and InitiatingProcessCommandLine contains "VAUProtokoll.py" or InitiatingProcessCommandLine contains "Konnektor.py"
| where FileName in ("python.exe", "python3.exe")
| where ProcessCommandLine contains "--no-verify-ssl" or ProcessCommandLine contains "verify=False" // Beispiel: Wenn dies in der Kommandozeile übergeben würde
| project Timestamp, DeviceName, InitiatingProcessCommandLine, ProcessCommandLine, FileName, FolderPath

Splunk SPL

index=your_index_name sourcetype=your_sourcetype_name (process="python" OR process="python3") (commandline="*VAUProtokoll.py*" OR commandline="*Konnektor.py*") (commandline="*--no-verify-ssl*" OR commandline="*verify=False*")

Sigma

title: ePA3 TLS Verification Disabled
logsource:
  category: process_creation
  product: windows
  service: security
detection:
  selection:
    Image|endswith:
      - '\python.exe'
      - '\python3.exe'
    CommandLine|contains:
      - 'VAUProtokoll.py'
      - 'Konnektor.py'
      - '--no-verify-ssl' # Beispiel: Wenn dies in der Kommandozeile übergeben würde
      - 'verify=False' # Beispiel: Wenn dies in der Kommandozeile übergeben würde
  condition: selection
falsepositives:
  - Legitimate development or testing environments where TLS verification is intentionally disabled.
level: high

Elastic ES|QL

FROM process
| WHERE process.executable : ("*\\python.exe", "*\\python3.exe")
| WHERE process.command_line : ("*VAUProtokoll.py*", "*Konnektor.py*")
| WHERE process.command_line : ("*--no-verify-ssl*", "*verify=False*")

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Indikatoren

Domains (1)

  • download.tls.ti-dienst.de

Übernommen wurden nur Indikatoren, die wörtlich in einer Hersteller- oder Research-Quelle standen.

Referenzen