セキュリティ

SECURITY

公開：2025-02-21

【CVE-2025-0573】Sante PACS Serverに深刻な脆弱性、認証不要で任意のファイル作成が可能に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Sante PACS Serverでディレクトリトラバーサルの脆弱性を確認
• 認証なしで任意のファイルを作成可能な深刻な問題
• DCMファイル解析時のパス検証に不備

Sante PACS ServerのDCMファイル解析における脆弱性

Zero Day Initiativeは2025年1月30日、Sante PACS ServerのDCMファイル解析機能にディレクトリトラバーサル脆弱性が存在することを公開した。この脆弱性は【CVE-2025-0573】として識別されており、CVSSスコアは5.3（MEDIUM）と評価されている。^[1]

Sante PACS Server 4.0.9において、DCMファイルの解析処理時にユーザーが提供したパスの検証が適切に行われていないことが判明した。攻撃者は認証なしでこの脆弱性を悪用し、任意のファイルを作成することが可能となっている。

この脆弱性はCWE-22（パストラバーサル）に分類され、攻撃の実行に特別な権限は必要としないことが特徴だ。Zero Day Initiativeでは本脆弱性をZDI-CAN-25309として追跡しており、影響を受けるシステムの管理者に対して早急な対応を推奨している。

Sante PACS Server脆弱性の詳細

ディレクトリトラバーサルについて

ディレクトリトラバーサルとは、Webアプリケーションにおいて意図しないディレクトリへのアクセスを可能にする脆弱性の一種である。主な特徴として、以下のような点が挙げられる。

• ファイルパスの検証が不十分な場合に発生する脆弱性
• 攻撃者による任意のファイル操作を許可してしまう危険性
• システム全体のセキュリティを脅かす重大な問題

Sante PACS Serverの脆弱性では、DCMファイルの解析処理においてユーザーが提供したパスの検証が適切に行われていないことが原因となっている。この脆弱性により、攻撃者は認証なしでシステム上に任意のファイルを作成することが可能となり、深刻なセキュリティリスクとなっている。

Sante PACS Serverの脆弱性に関する考察

医療用画像管理システムにおける脆弱性の発見は、患者データの機密性や医療システムの完全性に関わる重大な問題となっている。特にディレクトリトラバーサル脆弱性は、攻撃者による不正なファイル操作を許可してしまう可能性があり、医療機関のセキュリティ体制全体に影響を及ぼす可能性があるだろう。

この脆弱性への対応として、DCMファイルのパス検証処理の強化と、アクセス制御メカニズムの見直しが不可欠となっている。特に医療システムにおいては、患者データの保護が最優先事項であり、今後はより厳格なセキュリティ基準の導入と定期的な脆弱性診断の実施が求められるだろう。

今後の医療システムセキュリティにおいては、開発段階からのセキュアコーディングの徹底と、運用段階での継続的なセキュリティ監視が重要となる。医療機関とベンダーの密接な連携により、脆弱性の早期発見と迅速な対応体制の構築が期待されている。

参考サイト

1. ^ CVE. 「CVE: Common Vulnerabilities and Exposures」. https://www.cve.org/CVERecord?id=CVE-2025-0573, (参照 25-02-21).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧