セキュリティ

SECURITY

公開：2025-04-16

【CVE-2025-3383】SourceCodester社の医療システムに深刻な脆弱性、SQLインジェクション攻撃のリスクが浮上

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• SourceCodester Web-based Pharmacy ProductのSQLインジェクション脆弱性が発見
• search_sales.phpファイルのName引数に脆弱性が存在
• CISAがCVE-2025-3383として脆弱性情報を公開

SourceCodester Web-based Pharmacy Productの深刻な脆弱性

SourceCodester社は2025年4月7日、同社が提供するWeb-based Pharmacy Product Management System 1.0にSQLインジェクションの脆弱性が発見されたことを公表した。この脆弱性はsearch_sales.phpファイルのName引数の処理に関連しており、リモートから攻撃可能な状態であることが確認されている。^[1]

この脆弱性はCVE-2025-3383として識別されており、CWEによる脆弱性タイプはSQLインジェクション（CWE-89）とインジェクション（CWE-74）に分類されている。NVDの評価によると、攻撃元区分はネットワークであり、攻撃条件の複雑さは低いとされている。

CVSSスコアはバージョン4.0で6.9（MEDIUM）、バージョン3.1および3.0で7.3（HIGH）、バージョン2.0で7.5と評価されており、深刻度の高い脆弱性であることが示されている。エクスプロイトコードが一般に公開されており、早急な対応が必要とされる状況だ。

Web-based Pharmacy Product Management Systemの脆弱性詳細

SQLインジェクションについて

SQLインジェクションとは、Webアプリケーションのデータベース操作において、不正なSQL文を挿入・実行される脆弱性のことを指す。主な特徴として、以下のような点が挙げられる。

• ユーザー入力値を適切にサニタイズしていない場合に発生
• データベースの内容を不正に読み取られる可能性がある
• データベースの改ざんや削除などの攻撃が可能

Web-based Pharmacy Product Management Systemの場合、search_sales.phpファイルのName引数に対する入力値の検証が不十分であることが確認されている。この脆弱性を悪用されると、データベースの不正な操作や情報漏洩などの深刻な被害が発生する可能性が高いとされている。

Web-based Pharmacy Product Management Systemの脆弱性に関する考察

医療関連システムにおける脆弱性の発見は、患者情報や医薬品在庫データなどの機密情報が漏洩するリスクを示している重大な問題だ。特にSQLインジェクションの脆弱性は攻撃の容易さと影響範囲の広さから、早急な対策が必要不可欠である。

この種の脆弱性に対する根本的な解決策として、プリペアドステートメントの使用やユーザー入力値の厳格なバリデーションの実装が重要となるだろう。さらに、定期的なセキュリティ監査やペネトレーションテストの実施により、同様の脆弱性を早期に発見できる体制の構築が望まれる。

今後はセキュアコーディングガイドラインの整備や開発者向けのセキュリティトレーニングの強化が必要となるだろう。医療システムのセキュリティ強化は患者データの保護という観点からも最優先で取り組むべき課題である。

参考サイト

1. ^ CVE. 「CVE Record: CVE-2025-3383」. https://www.cve.org/CVERecord?id=CVE-2025-3383, (参照 25-04-16).
2013

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧