Infantiaなど4製品の更新機能に脆弱性、修正を配信
CompuGroup Medicalの薬局・診療所向けソフトで、更新機能が正当性を確認せずにコードを実行する脆弱性が公表されました。修正は自動配信とされているため、4製品の利用組織は適用済みかを確認してください。
急ぎ度: 早めに
CVSS v4は9.2で重大度はcriticalですが、ベンダーは悪用の証拠はないと説明しており、修正は自動配信されているため、適用状況の確認を早めに済ませれば足ります。
関係があるか
CompuGroup MedicalのInfantia、Profim、Venere、Phronesisを使う薬局・診療所・歯科医院などが対象です。日本国内の組織では、イタリアの拠点や取引先を通じてこれらを使っている場合に関わります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Infantia | 1.3.0以下、および2.12.0以下 | CGM Italiaが自動配信している修正。具体的な版番号はCSIRT Italiaの勧告で確認してください |
| Profim | 1.3.0以下、および2.12.0以下 | CGM Italiaが自動配信している修正。具体的な版番号はCSIRT Italiaの勧告で確認してください |
| Venere | 1.3.0以下、および2.12.0以下 | CGM Italiaが自動配信している修正。具体的な版番号はCSIRT Italiaの勧告で確認してください |
| Phronesis | 1.3.0以下、および2.12.0以下 | CGM Italiaが自動配信している修正。具体的な版番号はCSIRT Italiaの勧告で確認してください |
確かめ方
- 1各製品の画面やバージョン情報で、いま動いている版を控える
- 2自社や拠点のどの端末にこの4製品が入っているかを、資産台帳や導入業者への問い合わせで洗い出す
- 3自動更新が有効で、直近の更新が正常に終わっているかを、各端末の更新履歴で見る
- 4CSIRT Italiaが公開した勧告で、影響する版と修正後の版を照らし合わせる
何が起きたか
CompuGroup Medicalの診療所・薬局向けソフトウェア4製品で、更新機能が受け取ったプログラムの正当性を十分に確かめないまま実行してしまう脆弱性が見つかりました。
更新の部品は、プログラムをダウンロードして実行する際に、本物かどうかの検証を適切に行っていません。ハッシュ値が無視されたり、偽造できるチェックサムに頼っていたりするためです。更新の経路によっては、圧縮ファイルの展開時に意図しない場所へ書き込める状態や、スクリプトが実行される状態も残っていました。弱点の分類はCWE-494です。
CGM Italiaは2026年11月4日、CSIRT Italiaと連携して脆弱性を修正したと発表しました。報告された問題は認証、鍵の配布、更新の配信、ログの保存にわたり、このCVEは更新の配信にあたる部分です。同社は、分析の結果、悪用の証拠は見つかっていないと説明しています。
攻撃の流れ
-
1
更新の取得
ソフトが更新プログラムを取りに行く、または受け取る。
-
2
検証が働かない
ハッシュ値の無視や偽造できるチェックサムのため、正当性が確かめられない。
-
3
不正な内容を受理
条件がそろうと、正規でない更新の内容が受け入れられる。
-
4
コードの実行
端末上でコードやスクリプトが動き、システムの制御に影響する。
どう悪用されるか
CVSS v4のベクターでは、ネットワーク経由で攻撃でき、事前の認証と利用者の操作は不要とされています。一方で、攻撃の難易度は高く、成功には特定の前提条件が重なる必要があります。これが、スコアが満点に近くない主な理由と考えられます。
悪用が成功すると、更新機能を通じて攻撃者のコードが実行されます。影響を受けるシステムでは、機密性・完全性・可用性のすべてで高い影響が想定されています。診療所や薬局の端末であれば、患者情報の閲覧や書き換え、業務の停止が起こりえます。
今すぐやること
-
1
適用状況を確認する
対象の4製品が入っている端末ごとに、修正が自動配信で適用済みかを確認します。更新が失敗している端末や、ネットワークの制限で更新を受け取れていない端末がないかも見ます。
-
2
修正後の版をベンダーの告知で確認する
修正後の版番号や追加の対処は、CSIRT Italia（ACN）の勧告と、CGM Italiaの案内で確かめてください。不明な点はCGM Italiaの顧客サポートに問い合わせます。
-
3
更新が止まっている端末を手当てする
自動更新が無効な端末や、古い版のまま取り残された端末は、導入業者と相談したうえで更新を適用します。
-
4
更新まわりの挙動を点検する
更新の時間帯に覚えのないプロセスやファイルが出ていないか、端末とネットワーク機器のログを見ます。ベンダーは悪用の証拠はないとしていますが、自組織のログでの裏づけも取っておくと安心です。
背景
Infantia、Profim、Venere、Phronesisは、CompuGroup Medicalが提供する薬局・診療所向けの業務ソフトです。CGM Italiaは、イタリアで医師、薬局、歯科医など約3万の顧客を抱えると自社の発表で述べています。こうしたソフトは患者情報を扱い、更新機能は各端末へプログラムを一斉に届ける役目を持ちます。更新機能に検証の穴があると、配信先の端末すべてが同じ弱点を抱えることになります。
今回の発表では、報告された問題が認証、鍵の配布、更新の配信、ログの保存にまたがっていました。更新だけでなく、誰が操作したかを残す仕組みも修正の対象でした。そのため、更新の適用だけでなく、運用面の確認も必要になります。
よくある質問
Q.自動配信される修正は、更新機能の脆弱性そのものを含んだ仕組みで届きます。そのまま信用してよいのですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| CompuGroup MedicalInfantia |
2.12.0 以前→ 記載なし |
記載なし |
| CompuGroup MedicalProfim |
2.12.0 以前→ 記載なし |
記載なし |
| CompuGroup MedicalVenere |
2.12.0 以前→ 記載なし |
記載なし |
| CompuGroup MedicalPhronesis |
2.12.0 以前→ 記載なし |
記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Update components download and execute code without proper authenticity verification, relying on ignored hashes or forgeable checksums. Some update paths also permit archive traversal or script execution.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web acn.gov.it
- web cgm.com
- web nvd.nist.gov
- web github.com