Účelem této stránky je informovat uživatele ZEISS FORUM data management solution o:
Aktualizaci kybernetické bezpečnosti s ohledem na zranitelnost spojenou s deserializací na platformě Java (CWE-502)
Popis:
Deserializace platformy Java je stav kybernetické zranitelnosti, k němuž dochází v situaci, kdy se uživatel, který má nepřátelské úmysly, snaží vložit do systému serializovaný objekt, jenž v konečném důsledku poškodí systém nebo jeho data. To znamená, že na serveru ZEISS FORUM může být spuštěn škodlivý kód, díky němuž může potenciální útočník server ovládnout.
Jedná se o problém, který je nebezpečný pouze z hlediska kybernetické bezpečnosti. Nedochází přitom k ohrožení zdraví a bezpečnosti pacientů. Nemá ani vliv na bezpečnost a chod ZEISS FORUM.
Jaká nebezpečí jsou s tím spojena:
K deserializaci může dojít pouze v případě, že:
- útočník získá přístup k síti společnosti a
- útočník zná uživatelské jméno a heslo některého uživatele softwaru FORUM, je si vědom zranitelnosti a dokáže toho využít.
Postižené verze:
Tato zranitelnost ovlivňuje následující verze FORUM:
- FORUM 4.2.1
- FORUM 4.2.3
- FORUM 4.2.4
Doporučená opatření:
1. Zabraňte zranitelnosti
Společnost ZEISS doporučuje aktualizovat FORUM na verzi 4.2.5, čímž bude i nadále zajištěna kybernetická bezpečnost.
V této souvislosti je k dispozici softwarová záplata FORUM 4.2.5, kterou si můžete nainstalovat. Tato záplata popsanou zranitelnost "opraví".
Kontaktujte vaše místní servisní oddělení ZEISS pro další informace o aktualizaci vašeho softwaru ZEISS FORUM.
2. Zmírnění rizik
Ačkoliv vám vřele doporučujeme, abyste si nainstalovali tuto záplatu, existují rovněž kroky, které slouží ke zmírnění těchto rizik. Pokud to je možné, doporučujeme provést implementaci, případně nadále používat LDAP nebo SSO pro uživatelské účty FORUM, které podporují komplexnější schémata ověření, např.: složitější heslo, heslo na dobu omezenou atd. Pokud LDAP ani SSO nelze použít, doporučujeme vám zavést tyto osvědčené postupy:
- Změňte přednastavená (výchozí) hesla
- Používejte silná hesla
- Nikomu svá hesla nesdělujte
- Všichni uživatelé by měli mít své vlastní účty
- Pokud uživatelský účet nepotřebujete nebo např. pokud zaměstnanec ze společnostiodešel, tak jej deaktivujte
- Hesla pravidelně měňte
- V heslech používejte kombinace velkých a malých písmen, čísel, speciálních znakůatd.
Pokud potřebujete pomoci s aktualizací vašeho ZEISS FORUM, použijte tento odkaz a obraťte se na vaše servisní oddělení.