【CVE-2024-10987】E-Health Care System 1.0でSQL injection脆弱性が発見、医療情報システムのセキュリティに警鐘

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
E-Health Care System 1.0のSQL injection脆弱性
E-Health Care System 1.0の脆弱性詳細
SQL injectionについて
E-Health Care System 1.0の脆弱性に関する考察
参考サイト

記事の要約

E-Health Care Systemにサービス更新を実施
SQL injectionの脆弱性が発見される
user_appointment.phpファイルに深刻な問題

E-Health Care System 1.0のSQL injection脆弱性

code-projectsは、E-Health Care System 1.0において深刻な脆弱性が発見されたことを2024年11月8日に公開した。脆弱性はuser_appointment.phpファイルのschedule_id、schedule_date、schedule_day、start_time、end_time、bookingの各引数でSQL injectionが可能となっており、リモートから攻撃を実行できる状態になっている。^[1]

NVDによる評価では、この脆弱性はCVE-2024-10987として識別されており、CWEによる脆弱性タイプはSQL Injection（CWE-89）とInjection（CWE-74）に分類されている。攻撃元区分はネットワークであり、攻撃条件の複雑さは低く設定され、特権レベルは低いが必要とされている。

CVSS 4.0では深刻度がMediumと評価され、スコアは5.3を記録している。また、CVSS 3.1とCVSS 3.0でも同様にMediumと評価され、スコアは6.3となっており、機密性・完全性・可用性への影響は限定的であると判断されている。

E-Health Care System 1.0の脆弱性詳細

項目	詳細
脆弱性ID	CVE-2024-10987
影響を受けるバージョン	E-Health Care System 1.0
脆弱性の種類	SQL Injection、Injection
CVSS 4.0スコア	5.3（Medium）
影響を受ける機能	user_appointment.phpの予約管理機能
攻撃条件	リモートからの実行が可能、低い特権レベルが必要

SQL injectionについて

SQL injectionとは、Webアプリケーションのセキュリティ上の脆弱性を悪用し、データベースに不正なSQLコマンドを実行させる攻撃手法のことを指している。主な特徴として、以下のような点が挙げられる。

ユーザー入力を適切に検証・エスケープしていない場合に発生
データベースの改ざんや情報漏洩のリスクが存在
Webアプリケーションの深刻な脆弱性として長年問題視

E-Health Care System 1.0におけるSQL injection脆弱性は、予約管理機能で使用される複数のパラメータが適切に処理されていないことに起因している。攻撃者はこの脆弱性を利用して、データベースへの不正アクセスや情報の改ざんが可能となり、医療システムのセキュリティに重大な影響を及ぼす可能性がある。

E-Health Care System 1.0の脆弱性に関する考察

E-Health Care Systemの脆弱性が医療情報システムに与える影響は極めて深刻であり、患者の個人情報や医療記録が不正アクセスのリスクにさらされている状態が続いている。医療システムのセキュリティ強化は喫緊の課題であり、特にSQL injectionへの対策として、入力値の厳格なバリデーションやプリペアドステートメントの採用が不可欠だ。

今後は医療システム全体のセキュリティフレームワークの見直しが必要となり、特に患者データの暗号化やアクセス制御の強化が重要な課題となるだろう。定期的なセキュリティ監査やペネトレーションテストの実施により、新たな脆弱性の早期発見と対策が求められている状況だ。

医療システムの開発者には、OWASPなどのセキュリティガイドラインに沿った開発プラクティスの採用が望まれる。セキュアコーディングの指針を確立し、開発チーム全体でセキュリティ意識を高めることが、今後の医療システムの信頼性向上につながるはずだ。