CGM CLININETで任意コード実行の恐れ、修正版2026.MS3あり
Summary
CGM CLININETの管理モジュール向けAPIに、同じネットワーク内から細工したデータを送るとサーバーをroot権限で乗っ取れる弱点が見つかりました。2026.MS3より前の版が対象で、2026.MS3で修正されています。利用している組織は版を確認し、修正版への更新を計画してください。更新までは、APIに接続できる範囲を絞ることも有効です。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
CGM CLININETの管理モジュール向けAPIに、同じネットワーク内から細工したデータを送るとサーバーをroot権限で乗っ取れる弱点が見つかりました。2026.MS3より前の版が対象で、2026.MS3で修正されています。利用している組織は版を確認し、修正版への更新を計画してください。更新までは、APIに接続できる範囲を絞ることも有効です。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| CGM | CGM CLININET |
< 2026.MS3 |
2026.MS3 |
Original description The description as published by the source.
CGM CLININET is vulnerable to Remote Code Execution caused by deserialization of untrusted data. The server exposes an HTTP-based API, used by the administrative module, that exchanges data using Java object serialization. An attacker within the same local network is able to send requests to this API and transmit a crafted serialized object. When it is deserialized, it allows arbitrary code execution with root privileges on the server.
This issue was fixed in version 2026.MS3
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web cvd@cert.pl
- web cvd@cert.pl
- web nvd.nist.gov
- web cert.pl
- web github.com