DEXIS Imaging Suite 10 に認証情報がハードコードされている問題
タイトル DEXIS Imaging Suite 10 に認証情報がハードコードされている問題
概要

DEXIS が提供する DEXIS Imaging Suite 10 は、歯科向けの X 線画像処理ソフトウェアです。DEXIS Imaging Suite 10 には複数の認証情報がハードコードされているため、管理者または root 権限で患者情報データベースにアクセスされる可能性があります。 認証情報がハードコードされている問題 (CWE-798) - CVE-2016-6532 DEXIS Imaging Suite 10 にはデータベースの複数の認証情報がハードコードされているため、管理者または root 権限で患者情報データベースにアクセスされる可能性があります。 CWE-798: Use of Hard-coded Credentials http://cwe.mitre.org/data/definitions/798.html

想定される影響 遠隔の攻撃者によって、管理者権限で当該製品の患者情報データベースにアクセスされる可能性があります。
対策

[データベースの認証情報を更新する] 開発者はデータベースの認証情報を変更するよう推奨しており、変更方法について次のように述べています。より詳しい情報は DEXIS Customer Support へお問い合わせください。   Changing the DEXIS database password   This procedure targets installations of DEXIS Imaging Suite (version 10). It will not work for older versions (9 and earlier) or DEXIS 11 and newer.   The DEXIS Imaging Suite database installation uses a well-known database instance name and password, allowing others to access your database, which contains sensitive patient information. Ideally, these should be changed to increase the security of your database.   During installation   During installation of the server, it is recommended that the instance name be changed from the default, “DEXIS_DATA”. Using the default name allows anyone to search for your database with a well-known name. Note that you cannot change the instance name once the database in installed.   You are unable to specify a different password during the installation process.   After installation   After DEXIS is installed, you can change your database password using the following procedure. Note that this procedure will work if you installed a new instance of the database using the supplied installation media.   On the installation media, browse to the following directory: “D:\Common\Software\ssmse2005\x86”, where D: is the drive letter on which the installation media is mounted.   Run SQLServer2005_SSMSEE.mis to install SQL Server Management Studio Express on your server. Use the default options in the installation dialogs.   Start the SQL Server Management Studio (Start → All Programs → Microsoft SQL Server 2005 → SQL Server Management Studio Express).   On the “Connect to Server” dialog, change the Authentication setting to “SQL Server Authentication”. The Login name is “sa”, and the password is in the user manual.   It is recommended that you do not use the default (well-known) password, and to use a strong password for your database. There are web-sites which will generate a strong password for you (such as: https://identitysafe.norton.com/password-generator) or will indicate how strong your password is (such as http://www.passwordmeter.com/).   On the left side panel, select “Security” → “Logins”. Double-click the “sa” user, and enter a new password on the General page. You will need to enter the same password twice to confirm.   Updating DEXIS to use the new password   Run DEXIS Imaging Suite (double-click the icon on the desktop). DEXIS will display an error (The following configuration errors were detected). Click “OK”. Click on the setting button ( ). Select the Data panel in preferences.   Check the “Edit Advanced settings” option. Click “OK” on the displayed warning dialog.   Enter your new password in the dialog. Press the “Verify” button to test the settings. When successful, select “OK” and restart DEXIS. You are now using the new password. [アップデートする] 開発者によると、DEXIS Eleven ではハードコードされた認証情報は使用していないとのことです。開発者が提供する情報をもとに DEXIS Eleven へアップデートしてください。

公表日 2016年9月7日0:00
登録日 2016年9月9日11:52
最終更新日 2016年9月9日11:52
CVSS3.0 : 緊急
スコア 9.8
ベクター CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS2.0 : 危険
スコア 10
ベクター AV:N/AC:L/Au:N/C:C/I:C/A:C
影響を受けるシステム
DEXIS
DEXIS Imaging Suite dexis_imaging_suite 10
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
変更履歴
No 変更内容 変更日
0 [2016年09月09日]
  掲載
[2016年10月07日]
  参考情報:National Vulnerability Database (NVD) (CVE-2016-6532) を追加
2018年2月17日10:37

NVD脆弱性情報
CVE-2016-6532
概要

DEXIS Imaging Suite 10 has a hardcoded password for the sa account, which allows remote attackers to obtain administrative access by entering this password in a DEXIS_DATA SQL Server session.

公表日 2016年9月24日19:59
登録日 2021年1月26日14:15
最終更新日 2024年11月21日11:56
影響を受けるソフトウェアの構成
構成1 以上 以下 より上 未満
cpe:2.3:a:dexis:imaging_suite:*:*:*:*:*:*:*:* 10.0
関連情報、対策とツール
共通脆弱性一覧