CGM CLININET、隣接網から root 権限で任意コード実行、修正版あり
CGM CLININET に、同じネットワーク内の攻撃者が認証なしで root 権限のコードを実行できる脆弱性が見つかりました。2026.MS3 より前の版が対象で、修正版 2026.MS3 が出ています。利用している組織は、版を確認して更新を計画し、更新までは接続できる端末とネットワークを絞ってください。
急ぎ度: 早めに
認証も利用者の操作も不要で、成功するとroot権限を奪われる深刻な欠陥ですが、攻撃できるのは隣接ネットワークからに限られ、実際の悪用が確認されたという情報は現時点で公表されていません。
関係があるか
CGM CLININETを自社で運用している組織（ベンダーの製品ページは病院向け製品として案内されています）が対象です。特に、このサーバーと同じネットワークに、利用者端末や外部業者の機器、ゲストの機器などが接続できる環境は影響を受けやすくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| CGM CLININET | 2026.MS3より前のすべての版 | 2026.MS3 |
確かめ方
- 1CLININETの管理画面、またはサーバーの導入記録で、現在の版が2026.MS3より前かどうかを確認します。
- 2版の確認方法が分からない場合は、導入や保守を担当しているベンダー・保守業者に問い合わせます。
- 3CLININETのサーバーに、どのネットワークセグメントや端末から接続できるかを洗い出し、信頼できない機器が同じネットワークに入れる状態になっていないかを確認します。
- 4自社で使っているかどうか分からない場合は、資産台帳や医療情報システムの一覧でCGM製品の有無を確かめます。
何が起きたか
CGM CLININETに、外部から送られた入力をそのままプログラムの一部として読み込んでしまう欠陥が見つかりました。攻撃者が細工したリクエストを送ると、サーバー側で攻撃者が用意した部品が実行され、サーバーを丸ごと操作されるおそれがあります。実行されるときの権限はroot（管理者の中でも最上位）です。
問題があるのは RunCGI.pm というコンポーネントです。リクエストのクエリパラメーターで指定されたモジュールを動的に読み込む作りで、読み込む対象が正しいものかを十分に確かめないまま、利用者が与えたデータに基づいてコードを実行してしまいます。分類はCWE-94（コードインジェクション）です。
ベンダーは2026.MS3で修正しました。CVSS v4.0のスコアは9.4で、深刻度はcriticalです。攻撃元は隣接ネットワーク（AV:A）、認証（PR:N）も利用者の操作（UI:N）も不要で、機密性・完全性・可用性のすべてに高い影響が出ると評価されています。
攻撃の流れ
-
1
同一網に到達
攻撃者がCLININETサーバーと同じ隣接ネットワークに接続できる状態になります。
-
2
細工した要求
認証なしで、細工したクエリパラメーターを含むリクエストをサーバーに送ります。
-
3
部品を読み込み
サーバーが、攻撃者の指定したモジュールを検証なしに読み込みます。
-
4
rootで実行
読み込まれたコードがroot権限で動き、サーバーを掌握されます。
どう悪用されるか
悪用に必要なのは、CLININETサーバーと同じ隣接ネットワークに到達できることだけです。ログインは不要で、利用者に何かを操作させる必要もありません。インターネットから直接ではなく、社内や院内のネットワーク、あるいは同じ拠点のネットワークから攻撃する想定です。
成功すると、サーバー上でroot権限の任意のコードが実行されます。サーバー内のデータの閲覧、改ざん、削除、サービスの停止のほか、そこを足場にした他の機器への侵入も考えられます。医療情報のように機微な情報を扱うシステムでは、被害が業務の継続にも及ぶ点に注意が必要です。
実際の攻撃で悪用された事例や、攻撃コードの公開状況については、現時点で公表されていません。
今すぐやること
-
1
利用中の版を確認する
CLININETの版が2026.MS3より前かどうかを確認します。導入を委託している場合は、保守業者にも確認を依頼します。
-
2
2026.MS3への更新を手配する
修正版は2026.MS3です。医療系システムは更新に計画と業者の作業が必要なことが多いため、ベンダーまたは保守業者に入手方法と作業日程を早めに確認してください。更新前にはバックアップを取り、戻せる状態にしておきます。
-
3
接続できる範囲を絞る
更新までの間、CLININETサーバーに接続できる端末やセグメントを、業務に必要なものだけに制限します。ゲスト用や外部業者用のネットワークからは到達できないようにします。
-
4
不審な通信や挙動を確認する
サーバーやネットワーク機器のログで、通常は接続しない機器からのCLININETへのアクセスや、見覚えのないプロセス・ファイルの変化がないかを見ます。異常があれば、サーバーを隔離し、ベンダーとセキュリティ担当に連絡してください。
すぐ更新できないとき
ベンダーが公表した回避策は、現時点で確認できていません。更新までの暫定策として、ファイアウォールやスイッチの設定でCLININETサーバーへの接続元を必要な端末に限り、他のセグメントからの到達を遮断してください。これは被害の可能性を下げるものであり、修正版の適用の代わりにはなりません。
背景
CLININETは、ベンダーの製品ページでは病院向けの情報システムとして案内されています。こうしたシステムは、患者や診療に関わる情報を集めて扱うため、止まったり改ざんされたりすると業務への影響が大きくなります。また、院内や拠点内の閉じたネットワークで動かされることが多く、外部から直接届かないことを前提に守りを組んでいる例が少なくありません。
コードインジェクションは、外から来た入力を「データ」ではなく「実行する内容」として扱ってしまう種類の弱点で、古くからさまざまな製品で繰り返し問題になってきました。今回のように、読み込む部品の名前を外部入力から決める作りは、入力の検証が不十分だと、意図しないコードを動かされる原因になります。さらに、サーバーが高い権限で動いていると、被害がそのままシステム全体に広がります。
よくある質問
Q.インターネットに公開していなければ安全ですか。
Q.ログインが必要ないとは、どういう意味ですか。
Q.すでに悪用されていますか。
まだ分かっていないこと
- 実際の攻撃での悪用の有無や、攻撃コードの公開状況は公表されていません。
- 修正版2026.MS3の入手方法や適用手順、更新前の版を使い続けた場合の延長サポートの扱いは、ベンダーの案内を確認する必要があります。
- 暫定的な回避策がベンダーから示されているかどうかは、現時点で明らかになっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| CGM | CGM CLININET |
2026.MS3 未満 |
2026.MS3 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
CGM CLININET is vulnerable to Code Injection in the RunCGI.pm component, which dynamically imports the module specified as a query parameter and executes code from untrusted data provided by the user. An attacker from adjacent network can supply a crafted query parameter to have an attacker-controlled module imported which results in arbitrary code execution with root privileges.
This issue was fixed in version 2026.MS3
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cvd@cert.pl
- web cvd@cert.pl
- web nvd.nist.gov
- web cert.pl
- web github.com