CERT Polska ostrzega przed lukami w CGM CLININET

CERT Polska namierzył krytyczne dziury w oprogramowaniu CGM CLININET. Eksperci koordynowali ujawnienie błędów, które uderzają w stabilność systemu i bezpieczeństwo danych. Sytuacja jest poważna.

Większość luk dotyczy wersji sprzed aktualizacji 2026.MS3. Niektóre błędy przetrwały jednak w nowszych wydaniach.

Nieautoryzowany dostęp do danych pacjentów

Podatność CVE-2025-30043 to brak uwierzytelnienia w ścieżce /DocManagment. Ktoś z sieci wewnętrznej może pobrać listę dokumentów pacjentów bez żadnych uprawnień. Wersja 2026.MS3 zamyka tę lukę.

Zdalne wykonanie kodu i uprawnienia root

System dopuszcza wstrzyknięcie kodu (CVE-2025-30045, CVE-2025-30050) oraz zdalne wykonanie instrukcji przez deserializację danych w API HTTP (CVE-2025-30047). Do tego procesy komunikacji HL7 działają z uprawnieniami root. Atakujący z sieci wewnętrznej może przejąć kontrolę nad serwerem (CVE-2025-30046). To otwarta brama.

Błędy w konfiguracji i uwierzytelnianiu

CERT Polska wykrył hasła zapisane jako niesolone skróty MD5 (CVE-2025-30049). Plik SysIO.pl zawiera dane do bazy i brokera RabbitMQ, a odczyta go każde lokalne konto (CVE-2025-30051). Istnieje też sposób na ominięcie uwierzytelnienia w usłudze rsyncd przez spoofing adresu IP (CVE-2025-30052).

Pozostałe podatności systemowe

W procesie cgm-updater brakuje uwierzytelnienia (CVE-2025-30053). Użytkownik uhcapache może zmodyfikować skrypty usługi HL7 i zdobyć uprawnienia root (CVE-2025-30054). Do listy dołącza podatność na ataki Reflected Cross-Site Scripting (CVE-2025-58403).

Wersja 2026.MS3 naprawia większość błędów, lecz niektóre luki wciąż zagrażają systemom.

Źródło: CERT