Thermo Fisher: Schwerwiegende Schwachstelle kann genetische Daten von Applied-Biosystems-Systemen verändern

CVE-2026-17583 beeinträchtigt die Integrität genetischer Dateien

Thermo Fisher Scientific weist eine Schwachstelle bei der Integritätsprüfung von .fsa- und .hid-Dateien auf, die von verschiedenen Applied-Biosystems-Softwarelösungen erzeugt oder verarbeitet werden. Die als CVE-2026-17583 geführte Schwachstelle wurde am 4. August 2026 entdeckt.

Ein Angreifer mit lokalem Zugriff auf das System oder auf Datenträger mit den betreffenden Dateien könnte deren Inhalt verändern, ohne dass die Software die Manipulation zwangsläufig erkennt. Die daraus resultierenden Daten könnten daher vom tatsächlich analysierten genetischen Material abweichen.

Die Schwachstelle wird als hoch eingestuft: Der CVSS-Score beträgt 8,4 gemäß CVSS 3.1 und 8,2 gemäß CVSS 4.0. Das Problem ist CWE-353 zugeordnet und betrifft das Fehlen geeigneter Mechanismen zur Überprüfung der Datenintegrität.

Betroffene Software und mögliche Folgen

Betroffen sind die folgenden Versionen:

• Applied Biosystems 3500/3500xL Data Collection Software <=4.0.2
• Applied Biosystems 3730/3730xL Data Collection Software <=5.0.2
• SeqStudio Genetic Analyzer Data Collection Software <=1.2.5
• SeqStudio Flex Instrument Software <=1.2.0
• GeneMapper ID-X Software <=1.7.3
• Applied Biosystems 3130 Series Data Collection Software <=4.1
• ABI PRISM 3100/3100-Avant Data Collection Software <=2.0
• ABI PRISM 310 Data Collection Software <=3.1

Die Produkte werden weltweit im Gesundheitswesen, im Bereich der öffentlichen Gesundheit und in der Forensik eingesetzt. Eine Manipulation der Dateien könnte DNA-Profile verfälschen oder bei klinischen Analysen, genetischen Identifizierungen und strafrechtlichen Ermittlungen zu fehlerhaften Ergebnissen führen.

Der von CVSS angegebene Angriffsvektor setzt lokalen Zugriff voraus, erfordert jedoch weder vorherige Berechtigungen noch eine Benutzerinteraktion. Die Kompromittierung kann die Vertraulichkeit, Integrität und Verfügbarkeit der Daten beeinträchtigen.

Verfügbare Updates und vorübergehende Maßnahmen

Thermo Fisher hat aktualisierte Versionen mit einer digitalen Signaturprüfung der Dateien veröffentlicht:

• 3500/3500xL: Version 4.0.3
• 3730/3730xL: Version 5.0.3
• SeqStudio: Version 1.2.6
• SeqStudio Flex: Version 1.2.1
• GeneMapper ID-X: Version 1.7.4

Die Serien 3130, ABI PRISM 3100/3100-Avant und ABI PRISM 310 haben hingegen das End of Life erreicht und erhalten keine Fehlerbehebungen mehr. Für diese Systeme sollten kompensierende Maßnahmen oder ein Austausch der Plattform geprüft werden.

Bis zur Aktualisierung sollten Organisationen eine überprüfbare Beweismittelkette für die Dateien gewährleisten, verschlüsselte und passwortgeschützte Datenträger verwenden und den Zugriff auf autorisiertes Personal beschränken. Zusätzlich werden das Prinzip der geringsten Rechte sowie eine Einschränkung der Konnektivität durch Firewalls und Netzwerk-ACLs empfohlen.