Pełnomocnik ds. cyberbezpieczeństwa
Szukaj

CERT Polska opisał 11 podatności w szpitalnym systemie CGM CLININET, dla sześciu nie podał wersji z poprawką

Rodzaj
Streszczenie
Data
Kategoria
Incydenty
Redakcja
Paweł Rosół
Źródło
CERT Polska ()

Pięć podatności prowadzi do wykonania kodu z uprawnieniami root, jedna pozwala pobrać dokumenty pacjentów bez uwierzytelnienia. Wersja 2026.MS3 usuwa pięć z nich, pozostałe sześć potwierdzono także w tej wersji.

23 października 2026 r. CERT PolskaCERT Polska Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK. opublikował informację o 11 podatnościachPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. w CGM CLININET, szpitalnym systemie informacyjnym firmy CGM. Zgłoszenia trafiły do CERT Polska, który uczestniczył w koordynacji ich ujawnienia, a dziesięć z nich zgłosił Maciej Kazulak. To druga taka seria w tym roku: w marcu CERT Polska opisał osiem podatności w CGM CLININET i CGM NETRAAD, z których pięć zgłosił ten sam badacz.

Pięć podatności pozwala wykonać dowolny kod z uprawnieniami root. W rekordach CVECVE Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń., które wystawia CERT Polska, najwyższą ocenę CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. 4.0, 9,4, mają CVE-2025-30047 i CVE-2025-30050. Pierwsza to deserializacja niezaufanych danych w API modułu administracyjnego, które wymienia obiekty Java przez HTTP, druga to komponent RunCGI.pm, który importuje moduł wskazany w parametrze zapytania. W obu przypadkach atakujący musi być w sieci lokalnej. Procesy komunikacji HL7 z systemami zewnętrznymi działają jako root, kiedy przetwarzają niezaufane dane (CVE-2025-30046), a skrypty i konfigurację usługi HL7 może zmienić użytkownik uhcapache (CVE-2025-30054). CVE-2025-30045 wymaga konta z wysokimi uprawnieniami.

Ścieżka /DocManagment jest dostępna bez uwierzytelnienia, więc atakujący z sieci wewnętrznej może pobrać listę dokumentów pacjentów i same dokumenty (CVE-2025-30043). Hasła użytkowników system przechowuje jako niesolone skróty MD5 (CVE-2025-30049), a plik SysIO.pl z loginem i hasłem do produkcyjnej bazy danych i brokera RabbitMQ może odczytać każde konto lokalne (CVE-2025-30051). Usługa rsyncd sprawdza tylko adres IP klienta, więc kto podszyje się pod dozwolony adres, może edytować pliki w systemie (CVE-2025-30052). Proces cgm-updater nasłuchuje na otwartym porcie bez uwierzytelnienia (CVE-2025-30053), a CVE-2025-58403 to reflected XSSXSS Atak, w którym aplikacja internetowa odsyła przeglądarce użytkownika skrypt wstawiony przez atakującego. Skrypt działa jak część zaufanej strony i może odczytać na przykład pliki cookie sesji..

Według CERT Polska wersja 2026.MS3 usuwa CVE-2025-30043, CVE-2025-30047, CVE-2025-30050 i CVE-2025-30051, a CVE-2025-30049 wersje 2026.MS1 i 2026.MS3. Pozostałe sześć podatności potwierdzono w wersjach do 2026.MS3 włącznie, a późniejsze też mogą być podatne. Ostrzeżenie nie podaje dla nich wersji z poprawką ani obejścia. Jeśli w twojej organizacji działa CGM CLININET, sprawdź zainstalowaną wersję. W rekordzie CVE-2025-58403 podatne wersje kończą się na 2025.MS3, a nie na 2026.MS3, jak w ostrzeżeniu CERT Polska.

Źródła

Pojęcia w tym tekście (5)
CERT Polska
Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.
Podatność
Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
CVE
Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń.
CVSS
Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.
XSS
Atak, w którym aplikacja internetowa odsyła przeglądarce użytkownika skrypt wstawiony przez atakującego. Skrypt działa jak część zaufanej strony i może odczytać na przykład pliki cookie sesji.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych ; tekst sprawdził i zatwierdził autor przed publikacją.