MedDream PACS Premiumの重大な脆弱性が医療システムを攻撃リスクに晒す

MedDream PACS Premiumの重大な脆弱性が医療インフラを脅かす

スペイン国家サイバーセキュリティ研究所のコンピュータ緊急対応チーム（INCIBE-CERT）は、広く利用されている医療画像・画像保管システムMedDream PACS Premiumに複数の脆弱性が存在することを公表しました。これらの脆弱性が悪用されると、不正アクセス、データ漏洩、医療サービスの停止などのリスクが発生する可能性があります。

脆弱性の技術的詳細

現時点で公開されているINCIBE-CERTのアドバイザリでは、具体的なCVE識別子は公表されていませんが、これらの脆弱性は高リスクに分類されています。主な問題点として以下が考えられます：

• 認証バイパスまたは弱いアクセス制御
• 不適切な入力検証によるインジェクション攻撃
• 安全でないデシリアライゼーションやPACSソフトウェアの設定ミス

MedDream PACS Premiumは、病院や診断センターでDICOM（Digital Imaging and Communications in Medicine）画像を管理するために導入されており、医療ITインフラの重要なコンポーネントです。これらの脆弱性が悪用されると、攻撃者は以下の行為が可能となります：

• 機密性の高い患者画像データへのアクセス
• 診断記録の改ざん
• 医療画像ワークフローの妨害

影響分析

MedDream PACS Premiumを利用している医療機関は、以下のリスクにさらされています：

• データ漏洩による患者の機密情報漏洩（HIPAA/GDPR違反の可能性）
• 業務停止が放射線科や診断サービスに影響を及ぼす
• ランサムウェアやマルウェアの展開が脆弱性を悪用して行われる

このシステムは病院ネットワークと統合されているため、これらの脆弱性が医療IT環境全体への攻撃の足がかりとなる可能性があります。

セキュリティチーム向けの推奨対策

INCIBE-CERTは影響を受ける組織に対して、以下の対策を強く推奨しています：

1. ベンダー（Softneta）がリリースするパッチを即座に適用する
2. PACSシステムを非必須のネットワークセグメントから隔離する
3. 不正アクセスの試みなど、不審な活動を監視する
4. アクセス制御を見直し、最小権限の原則を徹底する
5. 脆弱性スキャンを実施し、公開されているインスタンスを特定する

詳細については、INCIBE-CERTのアドバイザリを参照してください。

本件は進行中の事案です。技術的な詳細が明らかになり次第、更新情報を提供します。