【CVE-2024-11073】SourceCodester Hospital Management System 1.0に認可の脆弱性、患者アカウントの不正削除が可能に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

Hospital Management System 1.0に認可の脆弱性が発見
delete-account.phpファイルに不適切な認可処理が存在
攻撃者は任意の患者アカウントを削除可能

SourceCodester Hospital Management System 1.0の脆弱性問題

SourceCodesterのHospital Management System 1.0において、delete-account.phpファイルに関する重大な認可の脆弱性【CVE-2024-11073】が2024年11月11日に公開された。VulDBによると、delete-account.phpファイル内の認可処理に不備があり、攻撃者によって患者アカウントの不正な削除が可能になる深刻な問題が存在している。^[1]

この脆弱性はCVSS 4.0スコアで5.3（MEDIUM）と評価されており、攻撃の複雑さは低く、特権レベルは必要だがユーザーインターフェースを必要としない攻撃が可能だ。脆弱性の影響範囲は整合性に限定されているものの、リモートからの攻撃が可能な点が大きな懸念材料となっている。

VulDBのユーザーであるSalah Tayehによって報告されたこの脆弱性は、すでに一般に公開されており、攻撃に利用される可能性が高い状態となっている。Hospital Management System 1.0を使用している医療機関は、早急なセキュリティ対策の実施が求められるだろう。

Hospital Management System 1.0の脆弱性詳細

項目	詳細
脆弱性ID	CVE-2024-11073
影響を受けるバージョン	Hospital Management System 1.0
脆弱性の種類	CWE-285: 不適切な認可、CWE-266: 不適切な権限割り当て
CVSSスコア	CVSS 4.0: 5.3 (MEDIUM)
攻撃の特徴	リモートからの攻撃が可能、攻撃の複雑さは低い
影響範囲	整合性への影響あり、機密性と可用性への影響なし

不適切な認可について

不適切な認可とは、システムやアプリケーションにおいてユーザーの権限チェックが適切に実装されていない状態を指す。以下のような特徴が挙げられる。

ユーザーの権限レベルが正しく検証されない
認可チェックの不備により、制限された機能にアクセス可能
他のユーザーのデータに不正にアクセスできる可能性がある

Hospital Management System 1.0の事例では、delete-account.phpファイルにおける認可チェックの不備により、攻撃者が任意の患者アカウントを削除できる状態となっている。この種の脆弱性は、医療情報システムにおいて特に深刻な影響をもたらす可能性があり、適切な認可制御の実装が不可欠だ。

Hospital Management System 1.0の脆弱性に関する考察

医療システムにおける認可の脆弱性は、患者のプライバシーや医療サービスの継続性に重大な影響を及ぼす可能性があり、早急な対応が必要だ。特にHospital Management System 1.0では、アカウント削除機能の認可チェックが不適切であることから、悪意のある攻撃者による患者データの改ざんや削除が懸念される。

今後は認証システムの多層化や、より厳密な権限管理システムの実装が求められるだろう。特に医療システムにおいては、Role-Based Access Control (RBAC)やAttribute-Based Access Control (ABAC)などの高度な認可メカニズムの導入が推奨される。医療情報の重要性を考慮すると、定期的なセキュリティ監査と脆弱性評価の実施も不可欠である。

中長期的には、医療システムのセキュリティ基準の統一化や、業界全体でのセキュリティガイドラインの策定が望まれる。医療機関のデジタル化が進む中、セキュリティインシデントの影響は患者の生命に関わる可能性もあり、より包括的なセキュリティフレームワークの確立が急務となっている。