Zahlreiche Schwachstellen in HASOMED Elefant and Elefant Software Updater

Mehrere Schwachstellen in der Elefant Praxissoftware erlaubten es einem unauthentifizierten Angreifer mit Zugriff auf das Praxisnetzwerk als Datenbankadministrator auf die Datenbank zuzugreifen. Ein Angreifer konnte dadurch unter anderem Patientendaten und die für die Elefant Software benötigten Logindaten auslesen oder überschreiben. Patientendaten könnten außerdem von einer ungeschützten FHIR API unauthentifiziert ausgelesen werden. In der Standardkonfiguration konnte ein lokaler Angreifer ohne administrative Privilegien die Elefant Windows Services nutzen, um seine Rechte auf dem lokalen System auszuweiten (Local Privilege Escalation). Auch im mitgelieferten zugehörigen Elefant Software Updater wurden mehrere Schwachstellen identifiziert, die ein Angreifer zur Local Privilege Escalation nutzen konnte.