30秒で判断
- 対応すべき人: CompuGroup Medical（CGM）の対象製品を利用している医療機関・薬局のシステム管理者
- 対応不要な人: CompuGroup Medicalの対象製品を使用していない方
- 確認コマンド: CGMの公式アナウンスまたはCSIRT Italiaの情報を確認し、自組織の導入製品が対象に含まれるか確認する
概要
この脆弱性は、CompuGroup Medicalの一部製品が持つアップデート機能において、ダウンロードしたコンポーネントの正当性検証が不十分であることが原因です。ハッシュ値が無視される、または偽装可能なチェックサムに依存しているため、改ざんされた更新コンポーネントがそのまま実行されてしまうおそれがあります。
一部のアップデート経路では、アーカイブの展開処理やスクリプト実行の経路を通じて、意図しないファイルの展開やコードの実行が可能になる場合もあるとされています。医療情報システムに関連する製品であるため、影響を受けた場合は業務継続や患者データの取り扱いに影響する可能性があります。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.2 (Critical) |
| CVSSバージョン | 4.0 |
| 攻撃元区分 | ネットワーク経由（想定経路） |
| 認証要否 | 詳細はベンダー情報を参照 |
| 影響 | 不正コードの実行・データ整合性への影響 |
影響を受けるソフトウェア
| 製品 | バージョン |
|---|---|
| CompuGroup Medical 製品（アップデート機能利用製品） | ベンダー公式情報を参照 |
修正バージョンと回避策
CompuGroup Medicalおよびイタリアの国家サイバーセキュリティ機関（ACN）・CSIRT Italiaが共同で対策を実施済みとされています。対象製品を利用している場合は、ベンダーの公式アナウンスに従い最新のアップデートを適用することを推奨します。アップデート経路自体が影響を受けるため、ネットワーク環境の分離やアップデート元の正当性確認強化も有効な緩和策です。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。