Il CSIRT Italia ha pubblicato un avviso relativo a 16 vulnerabilità individuate in diverse soluzioni software di CompuGroup Medical, utilizzate da professionisti sanitari, farmacie e strutture sanitarie per la gestione delle attività operative.
Le vulnerabilità, identificate nell’ambito del processo di divulgazione coordinata (Coordinated Vulnerability Disclosure – CVD), interessano sette prodotti: XDent, XMedical, Wingesfar, Venere, Phronesis, Infantia e Profim. Tra le tipologie rilevate figurano bypass dell’autenticazione, divulgazione di informazioni, escalation dei privilegi ed esecuzione di codice arbitrario. Alcune vulnerabilità raggiungono un punteggio CVSS v4.0 di 8.1 e potrebbero consentire ad attaccanti non autenticati di ottenere accessi privilegiati, sottrarre o modificare dati ed eseguire codice arbitrario.
Lo sfruttamento delle falle potrebbe esporre dati sanitari e informazioni personali, consentire modifiche non autorizzate e compromettere la sicurezza e la disponibilità dei sistemi interessati.
CompuGroup Medical ha comunicato di aver predisposto le correzioni e di distribuirle automaticamente alle installazioni interessate. Dalle analisi effettuate dall’azienda non sono emerse evidenze di sfruttamento delle vulnerabilità.
Il CSIRT raccomanda di aggiornare i prodotti vulnerabili attraverso i canali di assistenza dedicati concordati con il vendor.
https://www.acn.gov.it/portale/en/w/rilevate-vulnerabilita-in-prodotti-compugroup-medical
