CGM CLININETで任意コード実行の恐れ、修正版2026.MS3あり
CGM CLININETの管理モジュール向けAPIに、同じネットワーク内から細工したデータを送るとサーバーをroot権限で乗っ取れる弱点が見つかりました。2026.MS3より前の版が対象で、2026.MS3で修正されています。利用している組織は版を確認し、修正版への更新を計画してください。更新までは、APIに接続できる範囲を絞ることも有効です。
急ぎ度: 早めに
認証なしでroot権限を奪われうる最高水準に近い深刻度（CVSS v4で9.4）ですが、攻撃元は同一ネットワーク内に限られ、実際の悪用は現時点で公表されていないためです。
関係があるか
CGM CLININETを自組織のサーバーで運用している組織が対象です。とくに管理モジュールのAPIに、利用者の端末や他の機器など多くの機器から届く構成だと、影響を受けやすくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| CGM CLININET | 2026.MS3より前の版 | 2026.MS3 |
確かめ方
- 1自組織でCGM CLININETを導入・運用しているかを、情報システム部門や保守ベンダーに確認します。
- 2稼働中の版が2026.MS3より前かどうかを、製品の管理画面や導入時の資料、保守ベンダーへの問い合わせで確かめます。版の確認方法は製品ごとに異なるため、ベンダーの案内に従ってください。
- 3管理モジュールが使うHTTPベースのAPIに、どのネットワークや機器から接続できるかを、ファイアウォールやネットワーク構成図で洗い出します。
- 4サーバーをインターネットなど外部から到達できる状態に置いていないかも確認します。
何が起きたか
病院などで使われる業務システムのCGM CLININETに、サーバーを外部から操作されてしまう弱点が見つかりました。同じローカルネットワークにいる攻撃者が、ログインなしで特別に作ったデータを送るだけで、サーバー上で好きなプログラムを動かせる可能性があります。しかも、その権限はサーバーの最上位であるroot権限です。
原因は、Javaのオブジェクトのシリアライズ（データを送受信できる形に変換する仕組み）を使った、管理モジュール用のHTTPベースAPIです。このAPIは受け取ったデータを復元（デシリアライズ）しますが、その際に送信元と内容を十分に確かめていません。弱点の種類は「信頼できないデータのデシリアライズ」（CWE-502）に当たります。
例えるなら、届いた荷物の中身を確かめずに、説明書どおりそのまま組み立てて動かしてしまうようなものです。荷物に細工があれば、組み立てた時点で意図しない動作が始まります。
この問題は2026.MS3で修正されたと公表されています。深刻度はCVSS v4で9.4(critical)で、攻撃元は同一ネットワーク内、攻撃の難易度は低く、認証も利用者の操作も不要と評価されています。
攻撃の流れ
-
1
ネットワーク侵入
攻撃者がCGM CLININETサーバーと同じローカルネットワークに入り込みます。
-
2
APIへ送信
管理モジュール用のHTTPベースAPIに、細工したシリアライズ済みデータを送ります。
-
3
復元時に実行
サーバーがデータを復元する際に、攻撃者の意図したコードが動きます。
-
4
root権限を掌握
サーバーがroot権限で操作され、データの閲覧・改ざんや他システムへの足がかりにされるおそれがあります。
どう悪用されるか
悪用には、攻撃者がサーバーと同じローカルネットワーク内にいることが前提です。ログインなどの認証は不要で、利用者に何かを操作させる必要もないと評価されています。攻撃の難易度も低いとされています。
悪用に成功すると、サーバー上でroot権限による任意のコード実行が可能になります。情報の漏えい、データの改ざんや破壊、サービス停止、同じネットワーク内の他の機器への侵入の足がかりといった被害が想定されます。診療や業務に使うシステムでは、影響が業務の継続に及ぶ点に注意が必要です。
実際の攻撃で悪用された事例は、現時点で公表されていません。
今すぐやること
-
1
利用状況と版を確認する
CGM CLININETを運用しているか、稼働中の版が2026.MS3より前かを確認します。自社で把握できない場合は保守ベンダーに問い合わせてください。
-
2
2026.MS3へ更新する
対象の版であれば、修正版の2026.MS3以降への更新を計画します。更新手順や適用時期は、ベンダーや保守担当と調整してください。業務への影響が大きいシステムなので、検証環境での確認や停止時間の調整も事前に行います。
-
3
APIへの接続元を絞る
管理モジュールのAPIに接続できる機器を、管理に必要な端末やサーバーだけに限定します。更新までの間も有効な対策です。
-
4
ネットワークの分離を見直す
CGM CLININETのサーバーを、一般の利用者端末や来訪者用ネットワークから分離できているかを確認します。外部公開されていないことも確かめてください。
-
5
不審な通信や挙動を点検する
サーバーへの想定外の接続、管理用APIへの不審なリクエスト、サーバー上の見覚えのないプロセスや設定変更がないかをログで確認します。
すぐ更新できないとき
修正版をすぐに適用できない場合は、管理モジュールのAPIに接続できるネットワークや機器をファイアウォールなどで必要最小限に絞り、一般の利用者端末や他の業務ネットワークから到達できないようにします。これは被害のリスクを下げる一般的な対策で、ベンダーが公表した回避策ではありません。根本的な解決には2026.MS3以降への更新が必要です。
背景
CGM CLININETは、CGMが提供する製品で、ベンダーの製品ページでは病院向けの製品として案内されています。このような院内の業務システムは、患者や業務に関わる情報を扱うため、サーバーが乗っ取られたときの影響が大きくなります。管理用の機能が、利用者向けの機能とは別のAPIとして用意されている点も、この弱点の背景にあります。
Javaのシリアライズは、オブジェクトをそのままやり取りできて便利ですが、信頼できない相手から受け取ったデータを復元すると、任意のコードが動いてしまう危険が以前から知られています。多くのJava製品で同種の問題が繰り返し見つかっており、受け取るデータの種類を制限するか、そもそもこの形式を使わないことが一般的な対策とされています。
よくある質問
Q.インターネットから攻撃を受けますか。
Q.すでに悪用されていますか。
Q.日本で使われている製品ですか。
Q.どの版に更新すればよいですか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは、現時点で明らかになっていません。
- 2026.MS3より前の版のうち、どこまで遡って影響を受けるかの詳細は公表されていません。ベンダーの告知で確認してください。
- 参考情報として挙がっているCERT Polskaの告知のURLには、別のCVE番号が含まれています。関連する他の弱点があるかは、その告知で確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| CGM | CGM CLININET |
2026.MS3 未満 |
2026.MS3 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
CGM CLININET is vulnerable to Remote Code Execution caused by deserialization of untrusted data. The server exposes an HTTP-based API, used by the administrative module, that exchanges data using Java object serialization. An attacker within the same local network is able to send requests to this API and transmit a crafted serialized object. When it is deserialized, it allows arbitrary code execution with root privileges on the server.
This issue was fixed in version 2026.MS3
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cvd@cert.pl
- web cvd@cert.pl
- web nvd.nist.gov
- web cert.pl
- web github.com