CVE-2023-43208とは？NextGen Healthcare Mirth Connectの脆弱性をわかりやすく解説

ひとことで医療データをつなぐ Mirth Connect で、ログインなしにサーバーを乗っ取られる弱点です。
深刻度9.8 緊急CVSS v3.1
まずやることMirth Connect のバージョンを調べる

基本情報（データから表示）

CVE番号	CVE-2023-43208
製品	NextGen Healthcare Mirth Connect
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2024-05-20
米国政府機関の対応期限	2024-06-10
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-502（信頼できないデータのデシリアライズ）

何が起きた

医療機関などでシステムどうしのデータをつなぐソフト NextGen Healthcare Mirth Connect に、外から受け取ったデータを元のオブジェクトに戻す処理（デシリアライズ）の弱点が見つかりました。細工したリクエストを送ると、ログインしていない攻撃者が、離れた場所からコードを実行できます。この弱点は、以前の CVE-2023-37679 の修正が不十分だったことが原因です。実際の攻撃で悪用されており、ランサムウェアの攻撃にも使われたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NextGen Healthcare Mirth Connect の 4.4.1 より前のバージョンを使っている組織が対象です。開発元の 4.4.1 の説明では、4.4.0 以前が影響を受けるとされています。

何をすればいい

Mirth Connect を 4.4.1 以降に更新されているか確認し、古ければ更新してください。4.4.1 では、データを元に戻す処理に使う XStream というライブラリで、許可したデータの種類だけを受け入れる方式（許可リスト）に切り替えて、この問題を直しています。あわせて、メーカーの公式の案内を確認してください。

やることチェックリスト

Mirth Connect のバージョンを調べる
Mirth Connect を 4.4.1 以降に更新する
4.4.0 以前のサーバーを優先して更新する

用語メモ

デシリアライズ用語集で見る: 保存や送信のために変換したデータを、プログラムが使える元の形に戻す処理です。
XStream: Java のプログラムで、データを XML の形に変換したり元に戻したりするためのライブラリです。
許可リスト: あらかじめ認めたものだけを受け入れ、それ以外はすべて断るしくみです。
ランサムウェア用語集で見る: データを暗号化して使えなくし、元に戻すことと引き換えにお金を要求する悪意のあるプログラムです。

次に読む

基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

NextGen Healthcare Mirth Connect Deserialization of Untrusted Data Vulnerability

概要

NextGen Healthcare Mirth Connect contains a deserialization of untrusted data vulnerability that allows for unauthenticated remote code execution via a specially crafted request.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る

NextGen Healthcare Mirth Connect の安全でないデシリアライズの脆弱性（CVE-2023-43208）