病院向け情報管理システム OpenClinic GA に複数の脆弱性 | ScanNetSecurity
2021.07.26(月)

病院向け情報管理システム OpenClinic GA に複数の脆弱性

独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は6月16日、OpenClinic GA に複数の脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。影響を受けるシステムは以下の通り。

脆弱性と脅威 セキュリティホール・脆弱性
 独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は6月16日、OpenClinic GA に複数の脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。影響を受けるシステムは以下の通り。

OpenClinic GA Version 5.09.02
OpenClinic GA Version 5.89.05b

 JVNによると、財務管理、臨床、薬局などのデータ管理を行う病院向け情報管理システムである OpenClinic GA には以下の複数の脆弱性が存在する。

・別のパスやチャンネルを介した認証回避(CVE-2020-14485)
・過度な認証試行の不適切な制限(CVE-2020-14484)
・不適切な認証(CVE-2020-14494)
・認証の欠如(CVE-2020-14491)
・不要な特権による実行(CVE-2020-14493)
・危険なタイプのファイルの無制限アップロード(CVE-2020-14488)
・パス・トラバーサル(CVE-2020-14490)
・不適切な認可処理(CVE-2020-14486)
・クロスサイトスクリプティング(CVE-2020-14492)
・メンテナンスされていないサードパーティ製品の使用(CVE-2014-0114、CVE-2016-1181、CVE-2016-118に起因)
・認証情報の不十分な保護(CVE-2020-14489)
・隠れた機能(CVE-2020-14487)

 想定される影響としては各脆弱性により異なるが、次のような影響を受ける可能性がある。

・遠隔の攻撃者により、クライアント側のアクセス制御をバイパスされたり、細工したリクエストを送信されたりすることによってセッションが開始され、SQLクエリの実行など管理者機能を実行される(CVE-2020-14485)
・遠隔の攻撃者により、システムのアカウントロック機能がバイパスされ、総当たり攻撃(ブルートフォースアタック)を実行される(CVE-2020-14484)
・当該システムでは、総当たり攻撃(ブルートフォースアタック)の保護機構が十分ではないため、認証を経ていない攻撃者により、最大試行回数以上のアクセスを実行され、システムにアクセスされる(CVE-2020-14494)
・当該システムは SQL クエリの実行権限の確認を行わないため、権限の低いユーザによって、より上位の権限が必要な情報へアクセスされる(CVE-2020-14491)
・当該システムでは、比較的低い権限での SQL の実行により任意のファイルを書き込むことが可能なため、結果として、システム上で任意のコマンドが実行される(CVE-2020-14493)
・当該システムでは、アップロードされたファイルの検証が適切に行われないため、低い権限を取得した攻撃者により、システム上に任意のファイルをアップロードされ、実行される(CVE-2020-14488)
・パラメータで指定された任意のローカルファイルを含むファイルを実行されることにより、機密情報が公開されたり、アップロードされた悪意のあるファイルが実行されたりする(CVE-2020-14490)
・認証が失敗した時に実行されるリダイレクト処理を回避することができるため、認証を経ていない攻撃者により、コマンドを不正に実行される(CVE-2020-14486)
・ユーザによる入力値を適切に検証していないため、ユーザのブラウザ上で悪意のあるコードが実行される(CVE-2020-14492)
・当該システムが使用している、サポートが終了したサードパーティ製のソフトウェアに含まれる既知の脆弱性(CVE-2014-0114、CVE-2016-1181、CVE-2016-1182)に起因して、遠隔の攻撃者により悪意のあるコードが実行される
・パスワードを保存する際のハッシュ処理に不備があり、辞書攻撃によりパスワードを窃取される(CVE-2020-14489)
・当該システムには、デフォルトで設定されたユーザアカウントがアクセス可能な状態で存在しており、攻撃者によってそのアカウントを利用され、任意のコマンドを実行される(CVE-2020-14487)

 開発者は Version 5.170.5 以降のバージョンにアップデートすることを推奨している。

《ScanNetSecurity》

関連記事

PageTop

特集

アクセスランキング

  1. かくれ脱水から脱水状態に進行したときに起こるサインを解説(「教えて!「かくれ脱水」委員会)

    かくれ脱水から脱水状態に進行したときに起こるサインを解説(「教えて!「かくれ脱水」委員会)

  2. やけど虫の駆除方法、体液が皮膚に付いてしまった場合の対策について

    やけど虫の駆除方法、体液が皮膚に付いてしまった場合の対策について

  3. 『タイタンフォール2』がハッキング被害、一時的に全サーバでプレイ不可に

    『タイタンフォール2』がハッキング被害、一時的に全サーバでプレイ不可に

  4. 日清製粉グループ会社に不正アクセス、顧客や取引先、社員等 個人情報流出

    日清製粉グループ会社に不正アクセス、顧客や取引先、社員等 個人情報流出

  5. 東証一部上場企業 特別損失9,600万円計上 ~ 不正アクセスによる会員情報流出の対応費用

    東証一部上場企業 特別損失9,600万円計上 ~ 不正アクセスによる会員情報流出の対応費用

  6. 補修材専門店「ECサイトプロショップ匠」に不正アクセス、約2年半分の決済情報流出

    補修材専門店「ECサイトプロショップ匠」に不正アクセス、約2年半分の決済情報流出

  7. サイバー犯罪の検挙件数、2019年は9,542件に(警察庁)

    サイバー犯罪の検挙件数、2019年は9,542件に(警察庁)

  8. メール誤送信の再発防止策「BCC の利用を徹底」

    メール誤送信の再発防止策「BCC の利用を徹底」

  9. 中国政府を背景に持つAPT40によるサイバー攻撃について日本の見解を発表

    中国政府を背景に持つAPT40によるサイバー攻撃について日本の見解を発表

  10. 「My IIJmio」で別の顧客情報表示、 改修完了までサービス停止

    「My IIJmio」で別の顧客情報表示、 改修完了までサービス停止

ランキングをもっと見る