CVE詳細 - CVE-2023-43208-

CVE-2023-43208 の詳細

CVEの情報

説明:
NextGen Healthcare Mirth Connect before version 4.4.1 is vulnerable to unauthenticated remote code execution. Note that this vulnerability is caused by the incomplete patch of CVE-2023-37679.

CVE更新日: 2023-10-26 17:15:09.033000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2024-05-20

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.827080000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2023-43208について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2023-43208は、NextGen Healthcare Mirth Connectにおける認証なしのリモートコード実行（RCE）の脆弱性です。これは、Mirth Connect API内の不安全なデシリアライゼーション（XStreamライブラリの不適切な利用）に起因し、認証されていない攻撃者が特別に細工されたXMLペイロードをサーバーに送信することで悪用されます。アプリケーションがデータを適切に検証せずに処理するため、Mirth Connectサービス（多くの場合SYSTEMまたはroot）の権限で任意のJavaコードが実行される可能性があります。この脆弱性は、以前の脆弱性CVE-2023-37679に対するパッチが不完全であったために発生しました。

1.1 影響

この脆弱性が悪用されると、攻撃者はMirth Connectサービスが動作するシステム上で任意のJavaコードを実行し、システムを完全に侵害する可能性があります。Mirth Connectは医療分野で電子カルテ（EHR）や検査結果などの患者記録を処理するために広く使用されているデータ統合プラットフォームであるため、サーバーが侵害されると、攻撃者はネットワーク全体に侵入し、大量の保護された医療情報（PHI）を窃取する足がかりを得る可能性があります。

1.2 深刻度

CVSS v3.1ベーススコアは9.8（緊急度：Critical）と評価されています。本脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) カタログに2024年5月20日に追加されており、実際に悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンに限定されず、NextGen Healthcare Mirth Connectのバージョンに依存します。Mirth ConnectはWindowsシステムに最も一般的に展開されているようで、通常SYSTEMユーザーとして実行されます。

2.2 影響を受ける設定

NextGen Healthcare Mirth Connectのバージョン4.4.1より前のバージョンが影響を受けます。特に、バージョン4.4.0以前が脆弱です。

3. 影響を受けた時の兆候

Mirth Connectのログにおいて、脆弱なエンドポイントをターゲットにした不正または疑わしいHTTPリクエストを監視することが推奨されます。
Mirth Connectのバージョンを確認し、4.4.1より低い場合は脆弱である可能性が非常に高いです。以下のAPIリクエストでバージョンを確認できます。 curl -k -H 'X-Requested-With: OpenAPI' https://<host>:<port>/api/server/version
ネットワーク侵入検知システムで、既知のCVE-2023-43208悪用パターンに対するシグネチャを展開することが有効です。

4. 推奨対策

4.1 本対策

Mirth Connectをバージョン4.4.1以降にアップグレードしてください。バージョン4.4.1では、XStreamのブラックリストを廃止し、安全なクラスの明示的なホワイトリストに移行することで、この脆弱性が修正されています。

4.2 暫定回避策（緩和策）

Mirth Connectの管理インターフェースが公開インターネットに露出していないことを確認し、サーバーを隔離してください。
ベンダーの指示に従って緩和策を適用するか、緩和策が利用できない場合は製品の使用を中止してください。

5. 他に解説すべき観点

脆弱性の背景: この脆弱性は、CVE-2023-37679を修正するために導入されたパッチ（XStreamデナイリストの設定）が不完全であったため、その回避策として発見されました。
悪用状況: CISAのKnown Exploited Vulnerabilities (KEV) カタログに登録されており、この脆弱性が実際に悪用されていることが確認されています。また、本脆弱性の概念実証（PoC）コードが公開されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る